Votre site est signalé « Non sécurisé » ? Je le remets en conformité rapidement : certificat, HTTPS, contenu mixte, à distance et sans coupure. Appelez le 06 14 87 10 94.
Ce petit message à côté de votre adresse inquiète les visiteurs, fait fuir les formulaires et pénalise votre référencement. La bonne nouvelle, c'est que la cause est presque toujours la même, qu'elle se corrige en quelques heures, et que le certificat lui-même est gratuit chez la quasi-totalité des hébergeurs.
Ce que « Non sécurisé » veut dire exactement
Contrairement à ce que beaucoup comprennent, ce message ne signifie pas que votre site est piraté ou infecté. Il dit une seule chose : la connexion entre le visiteur et votre site n'est pas chiffrée. Tout ce qui transite, un message de contact, un identifiant, un numéro de téléphone, circule en clair et peut être lu ou modifié en chemin.
Depuis que Chrome et Firefox affichent l'avertissement par défaut, un site en HTTP simple est signalé comme douteux auprès de tous ses visiteurs, même s'il est parfaitement sain. Si votre site est réellement infecté, le message est différent (« Site trompeur », fond rouge) et le sujet est alors le piratage, pas le certificat.
Les quatre causes possibles
- Aucun certificat SSL installé : le site est resté en HTTP. C'est le cas le plus fréquent sur les sites anciens, jamais repris depuis.
- Un certificat expiré. Les certificats gratuits se renouvellent tous les trois mois : si le renouvellement automatique casse, le site passe brutalement en « non sécurisé », souvent un week-end, sans que personne ne soit prévenu.
- Du contenu mixte : la page est bien en HTTPS, mais elle charge encore des images, des polices ou des scripts en HTTP. Le navigateur considère alors l'ensemble comme non fiable. C'est la cause la plus sournoise, car le certificat est pourtant valide.
- Un certificat mal configuré : il ne couvre pas la bonne variante du domaine (avec ou sans www), ou la chaîne de certification est incomplète, un cas typique après une migration.
Comment identifier votre cas en deux minutes
Inutile d'être technicien pour trouver de quoi il s'agit :
- Cliquez sur le cadenas (ou l'icône d'avertissement) à gauche de l'adresse, puis sur les détails du certificat. Vous voyez immédiatement s'il est absent, expiré, ou émis pour un autre domaine.
- Testez les deux adresses : votredomaine.fr et www.votredomaine.fr. Si l'une passe et l'autre non, c'est un problème de couverture ou de redirection, pas de certificat.
- Cherchez le contenu mixte : si le certificat est valide mais l'avertissement persiste, ouvrez la console du navigateur (touche F12, onglet Console). Les ressources fautives y sont listées, avec leur adresse en http://.
Plus simple encore : notre outil gratuit teste tout ça pour vous, certificat, redirection, contenu mixte, en quelques secondes et sans inscription.
Comment corriger, dans l'ordre
- Installer un certificat SSL. La quasi-totalité des hébergeurs proposent Let's Encrypt gratuitement, activable en un clic depuis l'espace client. Si on vous vend un certificat payant pour un site vitrine, c'est rarement justifié.
- Forcer le HTTPS : rediriger automatiquement tout le trafic HTTP vers HTTPS, en redirection permanente (301). Sans cette étape, les deux versions du site coexistent, ce que Google n'aime pas du tout.
- Corriger le contenu mixte : remplacer dans le contenu et la base de données les adresses restées en http://. Sur WordPress, cela se fait proprement par un remplacement en base, pas à la main page par page.
- Mettre à jour l'adresse du site dans les réglages WordPress, en HTTPS, ainsi que dans vos outils : Search Console, fiche Google, liens sur vos réseaux, signature d'e-mail.
- Activer HSTS pour imposer définitivement les connexions sécurisées, à faire en dernier, une fois que tout le reste est vérifié.
- Vérifier que le renouvellement est automatique. C'est l'étape que tout le monde oublie, et la raison pour laquelle beaucoup de sites repassent en « non sécurisé » trois mois plus tard.
Ce que ça coûte, et combien de temps
Le certificat est gratuit. Ce qui prend du temps, c'est la mise en conformité du contenu : sur un site vitrine bien tenu, une heure ou deux suffisent. Sur un site ancien, avec des centaines de pages et des liens en dur vers des images en HTTP, comptez davantage.
Un piège à éviter : basculer en HTTPS sans s'occuper des redirections ni du contenu mixte. Le cadenas apparaît, mais le site se retrouve dupliqué en deux versions et perd des positions. Mieux vaut faire l'opération complète une fois que deux fois à moitié.
Pourquoi il ne faut pas laisser traîner
- Perte de confiance immédiate : le visiteur voit un avertissement avant même d'avoir lu une ligne, et repart. Sur mobile, le message est encore plus visible.
- Pénalité de référencement : à qualité égale, Google privilégie les sites en HTTPS depuis des années.
- Formulaires abandonnés : certains navigateurs affichent un avertissement supplémentaire dès qu'on saisit du texte dans un champ d'une page non chiffrée.
- Données exposées : sans chiffrement, ce qui transite par vos formulaires circule en clair, un sujet de conformité RGPD dès qu'il s'agit de données personnelles.
Un site « non sécurisé » est souvent un site laissé seul
Dans la pratique, ce message est rarement isolé. Un certificat expiré signale presque toujours un site que plus personne ne surveille : les mises à jour ne sont pas faites non plus, les sauvegardes non testées, et c'est exactement le terrain sur lequel prospèrent les piratages.
La correction du certificat est donc le bon moment pour remettre le reste à plat : mises à jour, sauvegardes fiables, surveillance. C'est ce que couvre un contrat d'infogérance, et c'est ce qui évite d'y revenir tous les six mois.
Questions fréquentes
Le certificat SSL est-il payant ?
Non, dans l'immense majorité des cas. Let's Encrypt est gratuit et proposé par presque tous les hébergeurs. Les certificats payants ne se justifient que pour des besoins particuliers (validation étendue d'entreprise), pas pour un site vitrine ou un site d'artisan.
J'ai activé le SSL mais le message reste, pourquoi ?
C'est le symptôme classique du contenu mixte : la page est bien en HTTPS, mais elle charge encore une image ou un script en HTTP. Le navigateur dégrade alors tout l'affichage. La console du navigateur (F12) vous dit exactement quelle ressource est en cause.
Mon référencement va-t-il souffrir du passage en HTTPS ?
Non, à condition de mettre en place les redirections 301 de HTTP vers HTTPS et de déclarer la nouvelle version dans la Search Console. Bien faite, l'opération est neutre à court terme et bénéfique ensuite. Mal faite, elle duplique le site : c'est là que les positions bougent.
Mon certificat expire tous les trois mois, c'est normal ?
Oui, c'est la durée de vie standard d'un certificat Let's Encrypt. Le renouvellement doit être automatique : s'il faut y penser, c'est qu'il est mal configuré, et le site repassera tôt ou tard en « non sécurisé » sans prévenir.
Est-ce que cela veut dire que mon site est piraté ?
Non. « Non sécurisé » parle uniquement du chiffrement de la connexion. Un message rouge « Site trompeur » ou « Ce site risque d'endommager votre ordinateur » est en revanche le signe d'une infection : voyez alors que faire quand un site WordPress est piraté.
Puis-je le faire moi-même ?
L'activation du certificat, oui, c'est généralement un bouton chez l'hébergeur. Les redirections et la correction du contenu mixte demandent plus de prudence, surtout sur un site qui travaille : une erreur de redirection peut rendre le site inaccessible. En cas de doute, faites-vous accompagner.
Votre site affiche encore l'avertissement ? Vérifiez son état gratuitement, ou appelez-moi au 06 14 87 10 94 : dans la plupart des cas, c'est réglé dans la journée.
À lire aussi :