Un certificat numérique gratuit existe bel et bien pour sécuriser un site en HTTPS ou protéger ses e-mails, mais la gratuité s’arrête là où commence la vérification d’identité. Une signature à forte valeur juridique exige un certificat qualifié, délivré après contrôle de l’identité du signataire et en règle générale payant.
Le bon choix dépend donc de l’usage : site web, signature de documents, messagerie ou test interne.
Certificat SSL/TLS gratuit pour un site web
Un certificat numérique est un fichier qui relie une clé publique à une identité et qui est signé par une autorité de certification. Pour un site, cette identité se limite au nom de domaine : c’est la validation de domaine, la seule que délivrent les autorités gratuites.
Let’s Encrypt, organisation à but non lucratif financée par des dons et des sponsors, ne délivre que ce type de certificat. Les certificats y sont valables 90 jours par défaut, avec une option à 6 jours, et se renouvellent automatiquement grâce à un client ACME installé sur le serveur.
Le chiffrement est le même que celui d’un certificat payant : le HTTPS gratuit protège aussi bien les échanges. La différence porte sur les garanties d’identité, qui ne dépassent pas le contrôle du domaine.
Beaucoup d’hébergeurs activent ce certificat en un clic, y compris dans les offres décrites dans l’hébergement web gratuit pour une petite structure. Certains intégrateurs facturent toutefois de modestes frais de gestion, d’où l’intérêt de vérifier ce qui est inclus.
Le HTTPS est aussi un prérequis technique du choix entre référencement gratuit et payant : un site non sécurisé affiche un avertissement qui fait fuir les visiteurs.
Signature électronique : ce que vaut un certificat gratuit
Le règlement européen eIDAS distingue trois niveaux de signature : simple, avancée et qualifiée. Un certificat gratuit donne en pratique une signature simple, recevable comme preuve mais plus facile à contester.
Seule la signature qualifiée est reconnue comme équivalente à la signature manuscrite. Elle repose sur un certificat délivré par un prestataire figurant sur la liste de confiance publiée par l’ANSSI, après vérification de l’identité du signataire.
Pour un devis, une attestation interne ou un accord courant, une signature simple suffit souvent : les étapes d’une signature électronique gratuite sont à la portée de n’importe qui.
Dès qu’un enjeu financier ou juridique pèse sur le document, mieux vaut passer par un prestataire qualifié. En cas de litige sur une signature, un avocat en droit du numérique évalue la valeur probante du dispositif utilisé.
Signer et chiffrer ses e-mails avec S/MIME
Le standard S/MIME permet de signer un e-mail pour prouver son origine, et de le chiffrer pour que seul le destinataire le lise. Chaque correspondant doit disposer d’un certificat installé dans son client de messagerie.
Les offres gratuites se limitent à la vérification de l’adresse e-mail : le certificat prouve que vous contrôlez la boîte, pas qui vous êtes. C’est suffisant pour authentifier des échanges ordinaires, pas pour engager juridiquement une entreprise.
L’installation consiste à importer le certificat dans le client de messagerie, puis à activer la signature par défaut dans ses paramètres.
Certificat auto-signé : réservé à l’usage interne
Un certificat auto-signé se crée gratuitement avec OpenSSL ou les outils du système, sans autorité tierce. Personne d’autre que son auteur n’en garantit l’identité.
Les navigateurs et les lecteurs PDF affichent donc une alerte à chaque ouverture. Ce certificat convient pour les usages suivants :
- un réseau local ou un outil interne dont tous les postes sont maîtrisés ;
- un environnement de test ou de développement, où l’alerte est sans conséquence.
Sur un site public, il est à proscrire : les visiteurs voient l’avertissement et quittent la page.
Quand un certificat payant devient obligatoire
Les validations d’organisation (OV) et étendue (EV) vérifient l’existence légale de l’entreprise. Aucune autorité gratuite ne les propose, puisque Let’s Encrypt s’en tient à la validation de domaine.
La signature qualifiée est le second cas payant : marchés publics, actes qui exigent l’équivalent d’une signature manuscrite. Le certificat numérique SIV, destiné aux professionnels de l’automobile, est lui aussi payant et lié à une habilitation, on ne le demande pas comme un certificat ordinaire.
| Usage | Gratuit possible | Limite |
|---|---|---|
| Site web (HTTPS) | Oui | Validation de domaine seulement |
| E-mail (S/MIME) | Oui | Adresse vérifiée, pas l’identité |
| Signature de document | Signature simple | Valeur juridique contestable |
| Usage interne | Auto-signé | Alerte des navigateurs |
| Signature qualifiée, OV, EV, SIV | Non | Vérification d’identité obligatoire |
Pour un site vitrine, un blog ou une messagerie courante, le gratuit répond au besoin. Le payant se justifie quand un tiers doit pouvoir vérifier qui vous êtes, pas seulement ce que vous contrôlez.
