Pourquoi mon site est non sécurisé : les 4 causes possibles
Quand un client vous dit « votre site est marqué non sécurisé », le navigateur a trouvé l'un de ces quatre problèmes. Ils ne se corrigent pas de la même façon, d'où l'intérêt de savoir lequel vous concerne avant d'appeler qui que ce soit.
Pas de certificat SSL
Le certificat SSL est la carte d'identité numérique de votre site. Sans lui, la connexion n'est pas chiffrée et votre adresse commence par http. C'est le cas typique des sites faits il y a longtemps et jamais repris.
Un certificat expiré ou mal installé
Le certificat existe, mais il a expiré, ou il couvre votre-site.fr et pas www.votre-site.fr. Le visiteur tombe alors sur une page d'alerte plein écran. Ce cas va devenir plus fréquent : depuis le 15 mars 2026, les règles communes des autorités de certification limitent la durée d'un certificat à 200 jours, puis à 100 jours en mars 2027. Un renouvellement manuel oublié, et le site bascule.
Pas de redirection de http vers https
Le certificat fonctionne, mais votre site s'ouvre encore en http quand on tape l'adresse sans le « s ». Une partie de vos visiteurs, et parfois vos propres liens, arrivent donc sur la version non sécurisée.
Du contenu mixte : certificat valide mais site non sécurisé
C'est la cause la plus déroutante. Le cadenas est là sur l'accueil, mais une page charge une image, une police ou un script en http. Le navigateur bloque l'élément ou retire la mention de sécurité. Fréquent après un passage en https fait à moitié.
Site non sécurisé : les risques pour votre entreprise
Le premier risque n'est pas le piratage, c'est la fuite des visiteurs. Un prospect qui compare trois artisans ou trois organismes de formation ferme sans hésiter celui qui affiche un avertissement. Il ne vous le dira jamais : vous verrez seulement un téléphone plus calme.
Deuxième risque : vos formulaires. Chrome prévient l'internaute quand il s'apprête à envoyer des informations depuis une page non sécurisée. Sur une demande de devis, beaucoup s'arrêtent à ce message. Sur une page de paiement, c'est la vente perdue.
Troisième risque, plus discret : les données. Sur un wifi public, ce qui circule en http peut être lu. Le RGPD (article 32) impose une sécurité adaptée aux données que vous collectez, et la CNIL recommande le protocole https pour tout site qui recueille des informations personnelles.
Enfin Google. Il utilise https comme signal de classement depuis 2014. C'est un petit signal, il ne vous fera pas gagner des places à lui seul, mais un site en http part avec un handicap sur une concurrence serrée.
Site non sécurisé sur Chrome : ce que voient vos clients
Depuis la version 68 de Chrome, en juillet 2018, toute page en http est marquée « Non sécurisé » à gauche de l'adresse. Les autres navigateurs, Edge, Firefox et Safari, affichent des avertissements comparables.
La prochaine étape est plus visible. Google a annoncé qu'à partir de la version 154 de Chrome, prévue en octobre 2026, le réglage « Toujours utiliser des connexions sécurisées » sera activé par défaut : avant d'ouvrir un site public en http, Chrome affichera une page d'alerte et demandera à l'internaute s'il veut continuer. Le visiteur ne voit plus un petit mot gris, il voit une porte fermée.
Autrement dit, un site encore en http n'est plus un détail technique en 2026. C'est une marche que vous demandez à chaque client de franchir avant de vous lire.
Ce que vérifie notre test, au-delà du cadenas
Le cadenas ne dit pas tout. Sur les sites d'entreprise que nous auditons, on trouve souvent un certificat valide posé sur un site qui laisse par ailleurs des portes ouvertes. Le test passe donc en revue huit points, dans l'ordre où nous les corrigeons.
- Le certificat est-il valide pour votre adresse, avec et sans www ?
- Quand expire-t-il, et reste-t-il assez de marge pour un renouvellement ?
- La redirection http vers https est-elle en place, en une seule étape ?
- Du contenu mixte est-il chargé en http sur la page ?
- HSTS est-il actif : le navigateur est-il obligé de toujours passer en https ?
- Les en-têtes de sécurité sont-ils présents : protection contre l'affichage dans un cadre piégé, contre le détournement de scripts ?
- Le serveur dévoile-t-il sa technologie et sa version à n'importe qui ?
- La version de WordPress est-elle affichée dans le code de la page ?
Comment enlever « Non sécurisé » de votre site
Bonne nouvelle : passer un site en https ne demande presque jamais de le refaire. Voici ce que vous pouvez faire seul, et ce qui demande un prestataire.
Ce que vous pouvez faire vous-même
- Activer le certificat SSL gratuit proposé par la plupart des hébergeurs, souvent un simple bouton dans l'espace client.
- Vérifier que le renouvellement automatique est activé.
- Changer l'adresse du site en https dans les réglages de WordPress, Wix ou de votre outil.
- Remplacer dans vos pages les images insérées avec une adresse en http.
Ce qui demande un prestataire
- Mettre en place une redirection 301 propre, sans boucle ni étapes en cascade.
- Chasser le contenu mixte caché dans le thème ou les extensions.
- Activer HSTS et les en-têtes de sécurité sans casser le site.
- Mettre à jour un WordPress ancien et ses extensions, après sauvegarde.
Les erreurs que nous voyons le plus souvent
Ce sont rarement de grosses failles. Ce sont des oublis, qui coûtent des clients pendant des mois sans que personne ne s'en rende compte.
- Un certificat qui couvre seulement une version de l'adresse, avec ou sans www.
- Un renouvellement qui échoue après un changement d'hébergeur ou de nom de domaine.
- Un formulaire de contact qui envoie encore les messages vers une adresse en http.
- Un site laissé sans mise à jour depuis des années, qui affiche fièrement sa vieille version de WordPress.
- Une redirection en trois étapes (http, puis www, puis https) qui ralentit chaque visite, ce que montre aussi notre test de vitesse.