Help : mes pages passent de HTTP en HTTPS toutes seules !

Par hasard, j’ai découvert que le référencement de certaines pages du présent site était passé de HTTP en HTTPS sur Google (et sûrement sur les autres moteurs de recherche). N’ayant pas touché à l’administration de l’hébergement depuis plusieurs semaines, j’ai d’abord recherché si sur des sites ou des forums, certains internautes n’avaient pas mentionné HTTPS dans l’url pointant sur Lisette Mag’. Que nenni !

Avertissement (23/11/2018) : nous vous recommandons de bien vous renseigner sur les pratiques commerciales et la qualité technique (en particulier du support) d’OVH avant de souscrire à une prestation chez cet hébergeur.
Le problème, c’est que le nombre de pages concernées par ce passage de HTTP en HTTPS augmentait d’heure en heure. A la place de la page, les internautes obtenait un message alarmiste avec le détail :

"lisette-mag.fr utilise un certificat de sécurité invalide. Le certificat n'est valide que pour sslXX.ovh.net. (Code d'erreur : ssl_error_bad_cert_domain)

J’étais en état d’alerte maximale ! Je n’avais aucune explication rationnelle à cette modification spontanée des url de http en https provoquée un problème de certificat. Je n’avais fait aucune demande à OVH, mon hébergeur dans ce sens. Aidée par quelques amis développeurs et administrateurs réseaux, il s’est avéré que la modification venait bien de l’hébergement et non d’un mauvais référencement ou encore de mon fichier Htaccess.

Chez OVH, le service, c’est pas ça…

Premier réflexe, j’ai ouvert un ticket dans l’administration d’OVH (hébergeur) bien que je sache parfaitement qu’OVH n’est jamais responsable de rien et que même devant l’évidence, ses employés nient aussi effrontément que Pinocchio. Cependant, j’ai espéré quelques instants que dans un sursaut de qualité, ils m’aideraient un peu…
Voici sa réponse à mon ticket :

lisette-mag.fr utilise un certificat de sécurité invalide. Le certificat n'est valide que pour XXXXXXXXX. (Code d'erreur : ssl_error_bad_cert_domain)
ou
Impossible de vérifier sur le serveur qu'il s'agit bien du domaine lisette-mag.fr, car son certificat de sécurité provient du domaine ssXXXXX.ovh.net. Cela peut être dû à une mauvaise configuration ou bien à l'interception de votre connexion par un pirate informatique.

———————- réponse d’OVH ———————————-

Bonjour Mme xxxxxxx,
Pour effectuer des connexions sécurisées (connexion en "https") sur votre
site, vous pouvez souscrire à un certificat SSL sur votre domaine.
Actuellement, vous ne disposez pas de certificat SSL et votre domaine pointe
sur l'hébergement.
Vous pouvez commander un certificat via votre espace client "Manager ==
Cliquez sur "lisette-mag.fr" == Cliquez sur "Commander un certificat SSL" ==
Suivez la procédure.
Vous pouvez consulter le lien ci-dessous pour de plus amples informations sur
le ssl:
www.ovh.com/fr/ssl/
Je reste à votre disposition pour toute information complémentaire.
Paul N,
Conseiller WEB

————————————————————————————————–
Euh, il lit ce qui est écrit dans les tickets M. Paul N. ou il fait du copier-coller ?

1. je n’ai pas utilisé l’administration OVH depuis des semaines.
2. je n’ai jamais demandé l’option « certificat SSL » pour Lisette Mag’

Conclusion de cette première étape : demander uniquement à OVH d’héberger le site. S’il le fait déjà sans trop planter le site régulièrement, c’est déjà pas mal. Ensuite, faire une étude pour changer d’hébergeur…

Plan B : les copains !

Quand on bidouille des sites, il y a des jours où on se félicite d’avoir des amis Développeurs et administrateurs de l’extrême… Parfaitement habitués aux situations rocambolesque du web, Thomas m’a sorti d’affaire en moins de 2 minutes. La solution est digne d’un étudiant en première année d’informatique (ce qui laisse présager du niveau de M. Paul N. ?).
Pour contrer les redirections provoquées par OVH, il suffit de faire une petite modification dans le fichier Htaccess :
code initial :

RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]

nouveau code pour rediriger les pages :

RewriteEngine on
RewriteCond %{HTTPS} on
RewriteRule .* %{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Entre-temps, OVH avait réinitialisé les DNS de l’hébergement afin d’ôter toutes les traces de l’incident. Tout est rentré dans l’ordre en quelques heures.