Site « non sécurisé » : que faire quand c’est votre site ?

Un client vous prévient que votre site affiche « Non sécurisé » dans la barre d’adresse, ou pire, un écran d’alerte « Votre connexion n’est pas privée ». Pour un visiteur, le message est clair : il vaut mieux partir. Pour vous, c’est une perte de confiance et de demandes de contact. La bonne nouvelle : dans la grande majorité des cas, le problème se règle rapidement. Voici comment identifier la cause et la corriger.

Que signifie « site non sécurisé » ?

Un site sécurisé utilise le protocole HTTPS : les échanges entre le navigateur et le serveur sont chiffrés grâce à un certificat SSL (on parle aujourd’hui de TLS). Le navigateur affiche alors un cadenas ou une icône neutre.

Le navigateur signale un site comme non sécurisé dans trois situations principales :

• le site est encore en HTTP, sans certificat ;
• le certificat existe mais pose problème : expiré, ou émis pour une autre adresse ;
• la page est en HTTPS mais charge des éléments en HTTP : c’est le contenu mixte.

Pourquoi c’est un vrai problème

• La confiance : l’avertissement fait fuir une partie des visiteurs, surtout sur une page de contact ou de devis.
• Les données : sans chiffrement, ce qui est saisi dans un formulaire peut être intercepté, par exemple sur un Wi-Fi public.
• Le référencement : Google utilise le HTTPS comme un léger signal de classement, et un écran d’alerte fait chuter le nombre de visites.
• Les obligations : si votre site collecte des données personnelles, le RGPD impose de les protéger de manière appropriée.

Étape 1 : identifier le message affiché

Cliquez sur l’icône à gauche de l’adresse, ou lisez le code d’erreur sous l’alerte :

• « Non sécurisé » sans écran d’alerte : le site est en HTTP, ou du contenu mixte est présent.
• NET::ERR_CERT_DATE_INVALID : le certificat a expiré.
• NET::ERR_CERT_COMMON_NAME_INVALID : le certificat ne couvre pas l’adresse visitée (par exemple valable pour la version avec www mais pas sans).
• Certificat auto-signé ou autorité inconnue : le certificat n’a pas été émis par une autorité reconnue.

Étape 2 : installer ou renouveler le certificat

La plupart des hébergeurs proposent des certificats gratuits Let’s Encrypt, installés en quelques clics depuis le panneau d’administration (par exemple « SSL It! » sous Plesk, ou AutoSSL sous cPanel). Ces certificats ont une durée de validité courte et se renouvellent automatiquement, à condition que le renouvellement soit bien activé.

Points à vérifier :

• le certificat couvre les deux versions du domaine, avec et sans www ;
• le renouvellement automatique est actif ;
• si le renouvellement a échoué, la cause est souvent un nom de domaine qui ne pointe plus vers le bon serveur.

Étape 3 : rediriger tout le trafic vers HTTPS

Avoir un certificat ne suffit pas : les visiteurs qui tapent l’adresse en http doivent être redirigés automatiquement vers https. Cette redirection doit être permanente (301) pour que Google transfère la visibilité acquise vers les nouvelles adresses.

Elle se règle selon les cas dans le panneau de l’hébergeur, dans le fichier .htaccess du serveur ou via une extension. Évitez d’empiler plusieurs redirections successives (http, puis www, puis https) : une seule redirection directe vers l’adresse finale est préférable.

Étape 4 : mettre WordPress à jour en HTTPS

Sur un site WordPress :

1. dans Réglages > Général, passez l’« Adresse web de WordPress » et l’« Adresse web du site » en https ;
2. remplacez les anciennes adresses en http dans les contenus (images, liens internes) avec une extension de recherche-remplacement adaptée, après une sauvegarde ;
3. videz les caches (extension de cache, hébergeur, CDN).

Étape 5 : corriger le contenu mixte

Si l’alerte persiste malgré le certificat, ouvrez les outils de développement du navigateur (touche F12, onglet Console) : les éléments chargés en http y sont listés comme « Mixed Content ». Il s’agit souvent :

• d’images insérées avec leur adresse complète en http ;
• de scripts ou polices externes appelés en http ;
• d’adresses écrites en dur dans le thème ou dans un widget.

Remplacez-les par leur version https, ou supprimez les éléments qui ne la proposent pas.

Étape 6 : prévenir Google

• dans la Google Search Console, vérifiez que la version https du site est bien suivie (une propriété de type « Domaine » couvre toutes les versions) ;
• envoyez le sitemap en https ;
• vérifiez que les balises canonical des pages pointent vers les adresses en https.

Éviter que le problème revienne

Un certificat expiré est presque toujours le signe d’un site que personne ne surveille. Une maintenance régulière inclut ce type de contrôle, avec les mises à jour, les sauvegardes et la surveillance de la disponibilité. C’est aussi ce qui évite d’autres mauvaises surprises, comme un site WordPress piraté.

Questions fréquentes