« Site non sécurisé » dans Chrome : pourquoi, et comment le corriger

Ce que signifie ce message

Quand vous ouvrez un site, l'adresse commence par http ou par https. Le « s » veut dire « sécurisé » : les échanges entre le visiteur et votre site sont chiffrés, donc illisibles pour quelqu'un qui écouterait le réseau. Sans lui, tout circule en clair : les mots de passe, les formulaires, les messages.

Depuis juillet 2018 et la version 68 de Chrome, le navigateur le plus utilisé au monde marque tous les sites en http comme « Non sécurisé », directement dans la barre d'adresse. Les autres navigateurs affichent des avertissements du même ordre. Ce n'est pas un détail d'affichage : c'est un avertissement que lit votre client avant même de voir votre page.

Ce que cela vous coûte

La confiance. Un visiteur qui hésite à vous confier son nom et son numéro de téléphone dans un formulaire de contact, face à un message d'alerte, ne remplit pas le formulaire. C'est la perte la plus directe, et la plus difficile à mesurer, car elle ne laisse aucune trace.

Un peu de visibilité sur Google. En août 2014, Google a annoncé qu'il utiliserait HTTPS comme signal de classement. Il le décrivait lui-même comme un signal « très léger », concernant moins de 1 % des requêtes. Aujourd'hui, la sécurité fait partie de ce que Google appelle l'expérience de page : il recommande que les pages soient servies de manière sécurisée. Passer en https ne vous fera pas monter à la première place, mais rester en http est un retard qu'aucun concurrent sérieux n'a.

Des fonctions qui cessent de marcher. Certaines fonctions des navigateurs, comme la géolocalisation ou l'installation d'un site sur l'écran d'accueil du téléphone, ne fonctionnent plus sur des sites non sécurisés.

Les quatre causes les plus fréquentes

1. Aucun certificat n'a jamais été installé. C'est le cas des sites anciens, créés quand le https était optionnel.
2. Le certificat a expiré. Un certificat a une durée de vie limitée. S'il n'est pas renouvelé, le navigateur affiche un écran plein page, « Votre connexion n'est pas privée », que la plupart des visiteurs ne franchissent pas.
3. Le site est en https, mais pas tout son contenu. Une image, un script ou une police se charge encore en http : c'est ce qu'on appelle un « contenu mixte ». Le navigateur peut bloquer l'élément ou afficher un avertissement.
4. Les anciennes adresses ne sont pas redirigées. Quelqu'un tape ou clique sur l'adresse en http, et reste en http : votre site existe en deux versions.

Comment passer en HTTPS, étape par étape

1. Demandez un certificat à votre hébergeur. La plupart en proposent un gratuit, dans l'espace client, via l'autorité Let's Encrypt. Cherchez « SSL », « HTTPS » ou « certificat ». Si votre hébergeur le facture cher, c'est un signal pour en changer.
2. Activez-le pour toutes les variantes de votre adresse, avec et sans « www ».
3. Changez l'adresse du site dans ses réglages. Sur WordPress, par exemple, dans « Réglages > Général » : remplacez http par https dans les deux champs d'adresse.
4. Redirigez tout le http vers le https. C'est une redirection permanente, dite « 301 ». Beaucoup d'hébergeurs la proposent d'un clic ; sinon, c'est quelques lignes dans la configuration du serveur.
5. Corrigez le contenu mixte. Ouvrez votre site dans Chrome, faites un clic droit puis « Inspecter », et regardez l'onglet « Console » : les éléments encore en http y sont listés. Remplacez leurs adresses par des adresses https.
6. Vérifiez le renouvellement automatique. Un certificat gratuit doit être renouvelé régulièrement. Vérifiez que cette tâche est bien automatique chez votre hébergeur, et notez la date de fin dans votre agenda en attendant.
7. Mettez à jour vos autres adresses. Fiche Google, réseaux sociaux, annuaires, signature d'e-mail et Google Search Console : tout doit pointer vers la version https.

Comment vérifier que c'est réglé

Ouvrez votre site : un petit cadenas ou une icône de réglages doit remplacer la mention « Non sécurisé ». Testez aussi en tapant l'adresse en http : vous devez arriver automatiquement sur la version https.

Le plus complet reste de lancer l'audit gratuit : il vérifie sur l'adresse réellement chargée si le site est sécurisé, et s'il reste des éléments qui ne le sont pas. Cette vérification pèse 10 points sur les 100 de votre score.

Les questions que l'on nous pose

Le https est-il utile si mon site ne vend rien ? Oui. Dès que votre site a un formulaire de contact, il recueille des noms, des adresses e-mail et des numéros de téléphone : ces données doivent voyager chiffrées. Et le message « Non sécurisé » s'affiche quel que soit le contenu du site.

Un certificat gratuit est-il moins sûr qu'un certificat payant ? Le niveau de chiffrement est le même. Les certificats payants peuvent ajouter une vérification de l'identité de l'entreprise ou des garanties commerciales, rarement utiles à un site de petite entreprise.

Combien de temps cela prend-il ? Chez un hébergeur récent, l'activation d'un certificat se fait en quelques minutes, et le reste du travail, redirections et correction des contenus mixtes, prend en général quelques heures. Sur un site ancien, comptez davantage.

Quand demander de l'aide

Si votre site est ancien, ou construit avec un outil que personne ne maintient plus, passer en https peut faire apparaître d'autres problèmes : liens cassés, mise en page qui se défait, formulaires qui ne partent plus. C'est un moment où il vaut mieux être accompagné que de tâtonner devant ses clients.

Chez ORA, tous les sites que nous construisons sont en https dès le premier jour, avec un renouvellement du certificat que nous surveillons pour vous : c'est inclus dans notre offre de maintenance et hébergement. Si votre site actuel pose problème, parlons-en : nous répondons en une heure au plus.

Pour aller plus loin

Un site sécurisé doit aussi être rapide : lisez pourquoi votre site est lent. Et pour savoir si Google vous voit bien, voyez comment savoir si votre site est bien référencé.