TrueURL
TrueURL

Menu

Langue Français
Thème

Outil de redirection gratuit

Vérificateur de redirection HTTPS

Saisissez un domaine pour tester les quatre façons d’y accéder : http et https, avec et sans www. Chacune doit aboutir à la même adresse HTTPS en une seule redirection permanente.

Ce que teste la vérification HTTPS

Pour l’hôte que vous saisissez, TrueURL construit quatre URL de départ et suit chacune d’elles :

  • http://example.com
  • http://www.example.com
  • https://example.com
  • https://www.example.com

Dans une configuration saine, les quatre aboutissent à une seule URL HTTPS canonique. Cette version répond directement par un 200 OK, et les trois autres y mènent par une seule 301 ou 308. Tout saut qui repasse de HTTPS à HTTP est signalé.

TrueURL vérifie aussi HSTS. Il lit l’en-tête Strict-Transport-Security de la réponse HTTPS finale (normalement votre URL canonique) et affiche sa valeur brute, le max-age et la présence éventuelle de includeSubDomains et de preload. Un max-age d’au moins un an est jugé conforme. Un max-age plus court, max-age=0, un en-tête sans max-age valide ou l’absence totale d’en-tête donnent lieu à un avertissement.

Problèmes fréquents de redirection HTTPS et solutions

  • Pas de redirection depuis HTTP : la version http:// affiche la page au lieu de rediriger. Ajoutez une redirection vers HTTPS sur tout le site ; une balise canonical seule ne protège pas les visiteurs.
  • Deux sauts ou plus : par exemple http://example.com vers https://example.com, puis vers https://www.example.com. Combinez les règles de protocole et d’hôte pour que chaque variante mène directement à l’URL finale (voir toutefois l’exception liée au préchargement HSTS ci-dessous).
  • Redirection temporaire : une 302 ou une 307 de HTTP vers HTTPS. Utilisez une 301 ou une 308 pour que les moteurs de recherche n’indexent que la version HTTPS.
  • Retour de HTTPS à HTTP : un saut de https:// vers http://, généralement dû à une règle oubliée ou à une application placée derrière un proxy ou un CDN qui construit des URL absolues avec le mauvais protocole.
  • Erreurs de certificat : une variante, souvent www, n’est pas couverte par le certificat. Le réseau edge de Cloudflare valide toujours les certificats : cette variante affiche donc une erreur TLS au lieu d’une redirection.
  • Variantes divergentes : www et la version sans www aboutissent à des URL différentes, ce qui répartit les signaux entre deux hôtes.

HSTS et l’exception du préchargement

HSTS indique aux navigateurs d’utiliser automatiquement HTTPS pour votre domaine, sans passer d’abord par HTTP. Un en-tête typique ressemble à Strict-Transport-Security: max-age=31536000; includeSubDomains. Les navigateurs ne l’acceptent que sur des réponses HTTPS et l’ignorent en HTTP simple.

Si vous souhaitez ajouter votre domaine à la liste de préchargement HSTS des navigateurs (preload list) sur hstspreload.org, le premier saut depuis HTTP doit rester sur le même hôte : http://example.com vers https://example.com, et seulement ensuite vers https://www.example.com. Cette chaîne de deux sauts est l’exception admise à la règle du saut unique. L’en-tête doit alors comporter un max-age d’au moins un an, includeSubDomains et preload, et il doit aussi être envoyé sur la redirection HTTPS elle-même.

Après le passage à HTTPS

  • Mettez à jour les liens internes, les balises canonical, les annotations hreflang et votre sitemap avec les URL HTTPS, pour que les robots d’exploration ne tombent plus sur des redirections.
  • Conservez la redirection HTTP vers HTTPS pour toujours : d’anciens liens pointeront vers http:// pendant des années.
  • Assurez-vous que la version HTTPS de votre site est validée dans Google Search Console et soumettez le sitemap mis à jour.
  • Vérifiez à nouveau après tout changement de CDN, d’hébergement ou de certificat.

Guides

Questions fréquentes

Comment vérifier si HTTP redirige vers HTTPS ?

Saisissez votre domaine ci-dessus. TrueURL interroge les versions http:// et https://, avec et sans www, et affiche où chacune aboutit, quels codes de statut ont été utilisés et combien de sauts ont été nécessaires. Votre configuration est correcte lorsque les quatre mènent à la même URL HTTPS et que toutes les redirections sont permanentes.

Faut-il choisir la version avec ou sans www ?

Les deux conviennent pour le SEO. L’important est d’en choisir une, de rediriger l’autre vers elle avec une 301 et de l’utiliser systématiquement dans vos liens, vos balises canonical et votre sitemap. Un hôte www peut être plus simple à faire pointer vers un CDN, car le DNS n’autorise pas d’enregistrement CNAME sur le domaine racine (certains fournisseurs DNS proposent des solutions de contournement), mais il s’agit d’un choix technique, pas d’un facteur de classement.

Pourquoi les outils de développement de Chrome affichent-ils une 307 de HTTP vers HTTPS ?

Cette « 307 Internal Redirect » est générée par Chrome lui-même, parce que le site figure dans sa liste HSTS : aucune requête n’a donc été envoyée en HTTP. La véritable redirection du serveur peut être une 301 ou tout autre chose. TrueURL n’a pas de cache HSTS : il affiche toujours la réponse réelle du serveur.

Une 302 de HTTP vers HTTPS pose-t-elle problème ?

Un petit problème, oui. Les visiteurs arrivent quand même sur HTTPS, mais une redirection temporaire indique aux moteurs de recherche que l’URL HTTP pourrait revenir, ce qui peut ralentir ou brouiller la migration. Remplacez-la par une 301 ou une 308.

Comment vérifier si mon site envoie l’en-tête HSTS ?

Saisissez votre domaine ci-dessus et ouvrez la vérification HSTS dans les résultats. TrueURL lit l’en-tête Strict-Transport-Security de la réponse HTTPS finale et affiche sa valeur, le max-age (avec un avertissement en dessous d’un an) et la présence éventuelle de includeSubDomains et de preload. Sans cet en-tête, chaque visite qui part d’un domaine saisi à la main ou d’un ancien lien http:// commence par une requête non chiffrée, qu’une personne connectée au même réseau pourrait intercepter. Avec lui, les navigateurs qui ont déjà vu l’en-tête passent directement en HTTPS la fois suivante. Commencez par un max-age court, vérifiez que tous les sous-domaines fonctionnent en HTTPS avant d’ajouter includeSubDomains, puis augmentez la valeur à un an ou plus.

Puis-je tester un site dont le certificat est invalide ou expiré ?

Vous verrez le problème, mais pas ce qu’il y a derrière. La validation des certificats ne peut pas être désactivée sur le réseau edge de Cloudflare, même avec l’option Ignorer les erreurs SSL activée : la variante concernée affiche donc une erreur TLS sur ce saut. C’est généralement ce qu’il faut savoir de toute façon, car les navigateurs y afficheront aussi un avertissement à vos visiteurs.

Faut-il rediriger chaque page, ou seulement la page d’accueil ?

Chaque URL. Une règle globale doit envoyer http://example.com/any/path?query vers le même chemin, avec les mêmes paramètres, en HTTPS. Testez quelques URL profondes avec le Vérificateur de chaîne de redirections, ou un grand nombre à la fois avec le Vérificateur de redirections en masse.