Mon site affiche « Non sécurisé » : que faire ?

Ce que dit le navigateur, symbole par symbole

Chrome affiche un symbole à gauche de l’adresse de chaque site. Son aide le résume : « Ces symboles indiquent si Chrome a établi ou non une connexion sécurisée et privée avec un site. » Sauf quand il annonce un site « Dangereux », ce symbole ne juge pas votre site : il parle seulement du chemin que prennent les informations entre votre visiteur et vous. Le cadenas que vous connaissiez a d’ailleurs disparu : en 2023, avec sa version 117, Chrome l’a remplacé par une petite icône de réglages, parce que, selon son équipe, le cadenas était mal compris et laissait croire qu’un site en https était digne de confiance.

Cette connexion repose sur un certificat, installé sur le serveur qui héberge votre site, qu’on appelle couramment certificat SSL. Chrome l’explique ainsi : « Chrome authentifie et sécurise les connexions HTTPS à l’aide de certificats de site Web. Ces certificats chiffrent le lien entre un site et votre navigateur. »

Pourquoi vos clients s’en méfient

Le message s’adresse à eux, pas à vous. À celui qui se demande ce que veut dire ce symbole, l’aide de Chrome répond : « La connexion au site n’est pas privée. Un tiers pourrait voir et modifier les informations que vous envoyez et recevez via ce site. » Sur un site d’artisan, ces informations, ce sont le nom, le téléphone et le message qu’un client tape dans votre formulaire de contact.

Un site vitrine n’y échappe pas parce qu’il ne vend rien : le symbole dépend de la connexion, pas de ce que vous proposez. Et certains visiteurs sont prévenus avant même d’arriver : quand l’option « Toujours utiliser une connexion sécurisée » est activée, Chrome passe les adresses en HTTPS et affiche un avertissement avant d’ouvrir un site qui ne l’accepte pas. Et Google a annoncé, en octobre 2025, que cette option deviendrait la règle : activée d’abord, avec la version 147 d’avril 2026, pour les utilisateurs de la protection renforcée, puis pour tous avec la version 154, prévue en octobre 2026. Chrome demanderait alors l’accord du visiteur avant la première visite d’un site public sans HTTPS.

Google, de son côté, « vous recommande vivement d’utiliser le protocole HTTPS pour votre site », et quand une page existe à la fois en http et en https, il préfère indexer la version https. Nous n’avons lu nulle part chez Google qu’un site en http serait retiré de ses résultats : la première raison de passer en https, ce sont vos visiteurs.

Les causes à vérifier, et un faux coupable

• Le site n’utilise pas HTTPS

  L’adresse commence par http:// et non par https://. Soit aucun certificat n’est installé, soit il l’est, mais l’ancienne adresse en http reste ouverte sans renvoyer vers la nouvelle.

• Le certificat n’est pas valide

  L’aide de la Search Console cite plusieurs cas : le certificat est « obsolète ou n’est pas encore valide », autrement dit expiré ou pas encore actif ; il est auto-signé, ou n’est pas signé par une autorité de certification reconnue ; ou il ne couvre pas l’adresse utilisée, par exemple votredomaine.fr mais pas www.votredomaine.fr. Dans ces cas, « de nombreux navigateurs Web bloquent l’accès à votre site ou affichent un avertissement de sécurité lorsque les internautes veulent le consulter ». Et selon le rapport HTTPS de Google, un certificat non valide touche en général tout le site.

• Le faux coupable : une image encore en http

  C’est le contenu mixte : la page arrive en https, mais une image, une vidéo ou un script est encore appelé en http. Beaucoup d’explications en ligne en font la cause du message ; dans Chrome, ce n’est plus le cas. Les scripts de ce genre y sont bloqués depuis longtemps, et depuis sa version 86, sortie en 2020, Chrome réécrit l’adresse d’une image en https, sans revenir au http si elle n’y est pas disponible. Le défaut reste à corriger : une image introuvable en https ne s’affiche plus, et un script bloqué peut casser une partie de la page.

• Une page d’erreur chez un seul visiteur

  Si c’est une page d’erreur entière qui s’affiche, et non le symbole à côté de l’adresse, la cause peut être chez le visiteur. L’aide de Chrome cite un Wi-Fi public, dans un café ou un aéroport, auquel il faut d’abord se connecter, et l’horloge de l’appareil : l’erreur liée à la date s’affiche « si la date et l’heure de votre ordinateur ou de votre appareil mobile sont incorrectes ». Si un seul client vous le signale, vérifiez depuis un autre appareil avant de conclure.

Vérifier vous-même en quelques minutes

1. 1Regardez le début de l’adresse, dans la barre du navigateur : http:// ou https:// ?
2. 2Cliquez sur le symbole à gauche de l’adresse : Chrome affiche un récapitulatif des informations sur le site.
3. 3Essayez les deux formes de votre adresse, avec et sans www : si les deux s’ouvrent, le certificat doit couvrir les deux.
4. 4Ouvrez plusieurs pages, pas seulement l’accueil, et cherchez les images qui manquent : une image encore appelée en http et introuvable en https ne s’affiche plus.
5. 5Refaites l’essai sur votre téléphone, en données mobiles plutôt qu’en Wi-Fi : si l’erreur disparaît, la cause est peut-être du côté du réseau ou de l’appareil.
6. 6Si vous avez accès à la Search Console, ouvrez le rapport HTTPS, qui n’existe que pour les propriétés de domaine et celles dont l’adresse commence par https : il compte vos pages indexées en http et en https, et dit pourquoi une version https n’a pas pu être indexée.

Ce que vous demandez à votre hébergeur ou à votre prestataire

Le certificat s’installe sur le serveur : c’est l’affaire de celui qui héberge ou gère votre site, et l’aide de la Search Console renvoie d’ailleurs vers lui (« contactez votre fournisseur d’hébergement »). Envoyez-lui cette liste, par écrit :

1. 1Un certificat valide, installé pour toutes les adresses du site, avec et sans www.
2. 2Le nom de celui qui le renouvelle, et la façon dont vous serez prévenu avant son échéance.
3. 3Une redirection permanente (301) de chaque adresse en http vers la même adresse en https. La documentation de Google conseille ce code pour indiquer aux moteurs de recherche et aux navigateurs que la version HTTPS est la bonne.
4. 4Le remplacement de tout ce qui est encore appelé en http : images, vidéos, feuilles de style, scripts.
5. 5Le plan du site (sitemap) et les liens internes mis à jour en https : le rapport HTTPS de la Search Console signale un plan du site qui renvoie vers des pages en http, ou une page en https qui redirige vers une page en http.

Faut-il refaire le site ?

Pas pour ce seul message. Passer en https se fait sur le site existant, quand l’hébergeur et l’outil du site le permettent. Il devient l’occasion d’une refonte quand le site cumule les défauts : illisible sur téléphone, impossible à modifier, bâti sur un outil abandonné. Le guide qui aide à décider quand refaire son site, en bas de page, vous aidera à trancher.

Pour les sites que nous livrons, le certificat fait partie du travail : nous nous occupons du paramétrage, de la mise en ligne et du certificat de sécurité, sur un nom de domaine à votre nom. Une refonte est à partir de 1 200 € HT, une création à partir de 1 900 € HT ; le nom de domaine et l’hébergement restent facturés par leur fournisseur.

Questions fréquentes

Des réponses courtes et franches. S’il manque la vôtre, écrivez-nous.