Attention https obligatoire !

[RobertG]

Re : Attention https obligatoire !

Non, je n'ai pas vérifié sans et avec cette sécurisation.

[GraphiqueDesign]

Re : Attention https obligatoire !

Chez moi, le speed-test de Google est passé du vert à l'orange, ce n'est pas rien. Mais je n'ai pas encore changé ma version de PHP 😂

[PhilJ]

Re : Attention https obligatoire !

Bonsoir,

Chez moi, le speed-test de Google est passé du vert à l'orange, ce n'est pas rien. Mais je n'ai pas encore changé ma version de PHP 😂

Finalement, cela ne signifie-t-il pas que le protocole httpS implique un hébergement plus « musclé » que la moyenne (un dédié ?) afin de ne pas s'exposer à un site ralenti ? Ou bien que l'optimisation de la vitesse doit être extrêmement bien pensée et impliquer encore plus d'attention et de travail que pour un site en http ?

Un article sur cette question intitulé « Enabling HTTPS Without Sacrificing Your Web Performance » : https://moz.com/blog/enabling-https-...eb-performance.
Attention, cet article est très technique et... in English


Bonne lecture et bon week-end,

[pmleconte]

Re : Attention https obligatoire !

Bonjour,

Je suis tombé (sans trop me faire mal) sur une "ancienne" discussion (mois de juin) : http://forum.joomla.fr/showthread.ph...ght=cloudflare avec la solution simple à tout nos problèmes (ou presque).

Je viens de passer en https avec mon cadenas. J'ai un peu galéré car je suis d'abord passé par cloudflare avant de trouver le lien vers le plugin de simbunch.

La version gratuite est amplement suffisante pour les sites "non commerciaux", comme les miens. Je n'ai pas encore testé les performances de tout ça ni vu les limites, mais, c'est simple et efficace (comme j'aime...).

Pascal

PS: pour info, à part un ou 2 http en dur dans mon template, je n'ai pas touché au htaccess ni autres paramètres.

[RobertG]

Re : Attention https obligatoire !

En ce qui me concerne, j'ai donc pu tester chez trois hébergeurs en mutualisé, finalement sans grosses difficultés et, moi aussi, la plupart du temps sans devoir changer autre chose que les appels à www3.org ou les polices Google dans les templates.

- Chez 1&1, je n'ai testé que le certificat gratuit pour un site : mise en place très simple, puis forçage HTTPS dans l'administration du site et correction du template et parfois de liens externes ; je n'ai pas encore vérifié la nécessité de payer un certificat supplémentaire en cas de deuxième site ;

- Chez OVH, les certificats sont déjà actifs pour tous les sites en domaines ou sous-domaines, il faut par contre utiliser du code dans le .htaccess, comme je l'ai signalé plus haut ; là aussi, corrections sur les templates et des liens externes si besoin ;

- Chez PHPNET, il n'est possible d'installer des certificats que sur les Premium mutualisés avec IP fixe ; comme je l'ai dit sur leur forum, je ne suis pas content de la chose car si l'option IP fixe était facturée il y a peu à 0.99 € HT/moi, elle est passée à 2.99 et, pour le moment, il n'est pas question chez eux de permettre d'installer de certificats SSL sur les packs mutualisés non-Premium ; ceci dit, lorsque les conditions sont réunies, la mise en place d'un Let's Encrypt est très simple et ne nécessite pas plus de manipulations que chez 1&1. Par contre, ces contraintes d'IP fixe vont obliger les clients que j'avais convaincus de passer chez eux à monter sur un Premium et/ou d'ajouter cette option pour l'IP fixe, même si leur site ne leur rapporte rien, ce qui est pénalisant par rapport à d'autres hébergeurs...

Sur le premier site sur lequel j'ai installé un certificat, j'ai modifié les adresses internes comme l'avait conseillé daneel, en supprimant "http:" pour les faire commencer par "//", mais du coup, si les sites externes concernés ne sont pas en https, une alerte s'affiche qui peut embarrasser le visiteur. J'ai donc fait machine arrière pour ceux dont je sais qu'ils ne sont actuellement pas sécurisés.

[GraphiqueDesign]

Re : Attention https obligatoire !

PS: pour info, à part un ou 2 http en dur dans mon template, je n'ai pas touché au htaccess ni autres paramètres.

Question: le https est il forcé vu que tu ne touche pas au .htaccess ? Si tu tapes l'URL du site en http, passe t'il en https ? L'idée étant d'éviter le duplicate content.

[pmleconte]

Re : Attention https obligatoire !

Bonjour,

En principe, c'est géré par CloudFlare en créant des pages rules comme documenter sur le site simbunch https://www.simbunch.com/products/fr...are-for-joomla

Au niveau de CloudFlare, j'ai mis flexible SSL.

Je suis en cours de validation de cette solution.

Pascal

[RobertG]

Re : Attention https obligatoire !

Rebonjour !

Une question : est-il possible de s'affranchir du nom de domaine dans une telle série d'instructions pour passer en www et https (ou en https sans www) en une seule étape ? Sur un site de test en effet, je constate sur des sites que le passage de sans www à avec www ET https se fait en deux étapes.

RewriteEngine on
RewriteCond %{SERVER_PORT} ^80$ [OR]
RewriteCond %{HTTPS} =off
RewriteRule ^(.*)$ https://www.mondomaine.tld/$1 [R=301,L]
RewriteCond %{HTTP_HOST} ^mondomaine.tld [NC]
RewriteRule ^(.*)$ https://www.mondomaine.tld/$1 [R=301,L]

J'ai en effet utilisé sur certains sites des instructions déjà citées dans cette discussion, en plus de celles que j'avais déjà placées pour passer en "www" ou "sans www", ou encore avec aeSecure le forçage du www et de https, et le site de test (linksspy.com) signale que cette double étape est néfaste pour le référencement.

Merci de vos conseils !
Robert

[cavo789]

Re : Attention https obligatoire !

Pour aeSecure, tu peux modifier la règle 7.2 pour indiquer https et donc ne le faire qu'en une seule étape.

[RobertG]

Re : Attention https obligatoire !

Merci Christophe !
J'essaierai.

Euh, non, la règle en question est faite pur forcer l'adresse avec www, pas en https.

Actuellement, j'obtiens, avec aeSecure, option 7.2 "avec www" et activation de https dans le .htaccess d'aeSecure :

http://mondomaine.tld/ -->
http://www.mondomaine.tld/ -->
https://www.mondomaine.tld/

[cavo789]

Re : Attention https obligatoire !

Salut Robert,

Je n'étais pas derrière le PC ce matin, maintenant oui.

Le code ci-dessous est à l'oeuvre sur mon site aesecure.com et l'URL http: // aesecure.com est bien dirigée vers la version https et www.

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}/$1 [R=301,L]
</IfModule>

Cela ne fonctionne pas chez toi ?

[RobertG]

Re : Attention https obligatoire !

Je ne dis pas qu'il ne fonctionne pas.
Dans mon (mes) .htaccess aeSecure, lorsque je force "www", j'ai ceci (http et pas https) :

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{REQUEST_URI} !/aesecure/.*$
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^(.*)$ http://www.%{HTTP_HOST}/$1 [R=301,L]
</IfModule>

Et pour passer en https, soit je suis tes instructions plus haut (ligne 80 dans le .htaccess) :

#Uncomment if want to force HTTPS and if your server can handle it

soit je le fais dans mon propre .htaccess

Je vais donc modifier la ligne de http en https, comme tu l'as citée. Merci !

[cavo789]

Re : Attention https obligatoire !

Fait une recherche sur "http:" dans ton .htaccess et change tout (=après vérification de la règle bien sûr) vers https:

Ainsi quand aeSecure redirige vers http:// tonsite/aesecure/accessdenied.php (dans le RewriteRule), change vers https.

Bonne journée.

[RobertG]

Re : Attention https obligatoire !

Merci Christophe de ta réponse !

Pardon de poser ici une autre question qui aurait sa place sur ton forum, mais comment faire la même chose pour forcer l'affichage sans www ? J'ai un site pour lequel je ne veux pas ce préfixe, mais je ne vois aucune instruction alors qu'en 7.2 j'ai bien "sans www" et j'ai dû réactiver celle que j'avais précédemment mise :

RewriteCond %{HTTP_HOST} ^www\.(.+)$ [NC]
RewriteRule ^ https://%1%{REQUEST_URI} [L,R=301]

[cavo789]

Re : Attention https obligatoire !

Utilise 7.2 pour forcer le "sans www" et récupère le code. Oui pour utilisation de mon forum puisque, aussi, on s'écarte du sujet de ce post.

Bonne journée