Mon site est « non sécurisé » : pourquoi et que faire

Pourquoi mon site est‑il marqué « non sécurisé » ?

Votre site est marqué « non sécurisé » parce que la connexion entre le visiteur et lui n’est pas chiffrée : le certificat de sécurité manque, a expiré ou est mal installé. Ce n’est pas la preuve d’un piratage, mais un défaut de configuration que votre hébergeur ou votre prestataire peut corriger.

Le visiteur voit la mention « non sécurisé » à gauche de l’adresse, ou un message qui l’avertit avant d’ouvrir le site. Selon l’aide de Google Chrome, ce signal indique que la connexion n’est pas privée et que c’est au propriétaire du site de la sécuriser. Il ne signale pas une intrusion chez vous.

Le cas grave existe, mais il s’affiche autrement : un écran rouge plein page, quand Google déclare le site dangereux. Si c’est ce que vous voyez, lisez plutôt Mon site WordPress a‑t‑il été piraté ?.

Ce que vous pouvez faire dès maintenant :

1. Ouvrez votre site dans une fenêtre privée, puis sur un autre appareil, et notez le message exact.
2. Lancez le testeur gratuit de site.
3. Envoyez à votre hébergeur les questions listées plus bas.

C’est gérable : l’origine est le plus souvent un certificat à renouveler ou une redirection à ajouter.

Pourquoi un site est‑il « non sécurisé » sans être piraté ?

Le HTTPS désigne la version chiffrée du protocole web : l’adresse commence par « https » et le navigateur affiche un cadenas. Un certificat SSL est un fichier installé chez l’hébergeur qui prouve l’identité du site et permet ce chiffrement. Sans l’un des deux, le navigateur prévient.

Les causes les plus courantes :

• Certificat expiré : le renouvellement automatique a échoué, ou il a réussi mais le serveur présente toujours l’ancien certificat. Un fil d’entraide de la communauté Let’s Encrypt décrit ce second cas : le certificat renouvelé était sur le disque, mais le serveur pointait encore vers l’ancien fichier, et l’alerte est apparue le jour de son expiration.
• Site jamais passé en HTTPS, ou sans redirection depuis l’ancienne adresse.
• Contenu mixte : Le contenu mixte désigne une page sécurisée qui charge encore certains éléments (image, script, police) par une adresse non sécurisée. La documentation MDN précise que les navigateurs convertissent automatiquement les images, vidéos et sons en HTTPS et bloquent les autres éléments non sécurisés, comme les scripts et les feuilles de style : l’affichage peut alors casser alors que le certificat est valide.
• Certificat auto‑signé, chaîne incomplète ou mauvais réglage d’un CDN (réseau de serveurs placé devant le site, comme Cloudflare).
• Certificat émis pour un autre nom de domaine : voir ERR_CERT_COMMON_NAME_INVALID.
• Piratage : possible, mais rarement la cause.

Un site sans connexion sécurisée est‑il devenu une exception ?

Oui : heise online rapporte que 95 à 99 % des pages vues dans Chrome utilisent HTTPS source : heise online, 2026. Chrome tente d’ouvrir chaque site en connexion sécurisée et affiche un avertissement avant de se rabattre sur la version non chiffrée.

Google précise dans son annonce que près de 95 % des utilisateurs de Chrome sur ordinateur ne voient aucun avertissement de ce type sur une semaine donnée source : Google, 2026. L’avertissement est donc devenu rare pour la plupart des internautes : quand il apparaît sur votre site, il se remarque.

Que coûte « non sécurisé » en confiance des visiteurs ?

Le coût réel est une perte de confiance au moment où le visiteur doit agir : remplir un formulaire, demander un devis, payer. Chrome avertit en rouge dès qu’on saisit des données sur une page non chiffrée, depuis Chrome 70 source : Google, 2018. Votre formulaire de contact est donc concerné.

Chrome demande aussi la permission du visiteur avant d’ouvrir un site non chiffré. Un client qui hésite passera chez un concurrent dont le site s’ouvre sans message.

Aucune source fiable ne chiffre le taux d’abandon exact. Méfiez‑vous des pourcentages sans source qui circulent. Par ailleurs, les données personnelles envoyées par un formulaire doivent être protégées : le RGPD (article 32) impose des mesures de sécurité adaptées.

Étape 1 : Comment lire le message exact du navigateur ?

Cliquez sur l’icône à gauche de l’adresse : elle détaille ce que le navigateur reproche au site. Le message indique s’il s’agit d’une absence de connexion sécurisée, d’un certificat expiré ou d’un certificat qui ne correspond pas au domaine.

Contrôles rapides :

• Redémarrez le navigateur et videz son cache.
• Testez sur un autre appareil et un autre réseau.
• Vérifiez la date et l’heure de votre ordinateur : une horloge fausse déclenche de fausses alertes.

Si l’alerte disparaît ailleurs, le problème vient de votre poste. Si elle persiste, elle vient du site.

Étape 2 : Comment vérifier son site avec le testeur gratuit ?

Entrez l’adresse de votre site dans le testeur gratuit et comparez le résultat avec le message lu à l’étape 1. Testez les deux versions de l’adresse, avec et sans « www » : l’une peut être correcte, l’autre non.

Notez ce qui est signalé et envoyez‑le tel quel à votre hébergeur. Pour une analyse détaillée du certificat, un outil comme SSL Labs complète le diagnostic.

Étape 3 : Que demander à son hébergeur quand le site est non sécurisé ?

Posez des questions précises : elles obtiennent une réponse précise.

Question à poser	Ce que ça révèle
Un certificat est‑il installé pour mon domaine, avec et sans « www » ?	Un certificat absent ou limité à une seule version
Quelle est sa date d’expiration ?	Une expiration imminente ou dépassée
Le renouvellement est‑il automatique, et le dernier a‑t‑il réussi ?	Un renouvellement en échec silencieux
La version non sécurisée redirige‑t‑elle vers la version sécurisée ?	Une redirection manquante
Y a‑t‑il un CDN devant le site, et en quel mode ?	Un conflit de configuration

Le renouvellement se fait souvent depuis l’espace client ou le cPanel de l’hébergeur. Si le site est chez un prestataire qui ne répond plus, lisez À qui appartient mon site internet ?.

Étape 4 : Pour votre prestataire ou votre hébergeur : vérifier le certificat et la redirection

Cette section s’adresse à la personne qui répare. Vérifiez d’abord la date d’expiration :

openssl s_client -connect votresite.fr:443 -servername votresite.fr 2>/dev/null | openssl x509 -noout -dates

Puis la redirection :

curl -I http://votresite.fr

La réponse attendue est un code 301 avec un en‑tête Location: https://votresite.fr/. La norme RFC 9110 traite http et https comme deux schémas distincts. Sans redirection, les deux adresses coexistent, et Google recommande une redirection permanente (301 ou 308) lors d’un changement d’adresse comme le passage en HTTPS.

Sur un serveur Apache, dans le fichier .htaccess à la racine :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Pour gérer aussi le « www », voir Forcer HTTPS et www. Si le certificat lui‑même est en cause, la marche à suivre est dans Problème de certificat de sécurité et NET::ERR_CERT_DATE_INVALID. Derrière Cloudflare, le mode de chiffrement doit être « Full (strict) » ; l’erreur 525 signale un désaccord avec le serveur.

Étape 5 : Comment corriger le contenu mixte sur WordPress ?

Si le certificat est valide mais que l’alerte persiste, cherchez les éléments chargés en http. La console du navigateur (onglet « Console » des outils de développement) les liste, comme l’indique MDN.

1. Dans Réglages > Général, mettez les deux adresses du site en https.
2. Remplacez les anciennes adresses dans la base. Faites d’abord un essai à blanc : wp search-replace 'http://votresite.fr' 'https://votresite.fr' --skip-columns=guid --dry-run
3. Videz les caches du site et du CDN.
4. En dernier recours, ajoutez l’en‑tête Content-Security-Policy: upgrade-insecure-requests, que MDN recommande pour forcer le chargement sécurisé. Corrigez quand même les adresses à la source.

Le pas‑à‑pas détaillé est dans Contenu mixte WordPress : le corriger en 3 étapes.

Quelle cause correspond à quel symptôme ?

Cause	Ce que vous voyez	Solution
Certificat expiré	« Votre connexion n’est pas privée »	Renouveler, vérifier le renouvellement automatique
Site jamais passé en HTTPS	« Non sécurisé » sur toutes les pages	Installer un certificat, ajouter la redirection
Contenu mixte	Cadenas absent ou page mal affichée	Remplacer les adresses http
Mauvais domaine sur le certificat	Erreur de nom de domaine	Réémettre le certificat
CDN mal réglé	Erreur 525 ou alerte intermittente	Régler le mode de chiffrement
Piratage	Écran rouge, redirections étranges	Nettoyage complet

Questions fréquentes

« Non sécurisé » veut‑il dire que mon site a été piraté ?

Non. Le message signale que la connexion n’est pas chiffrée ou que le certificat est défaillant. Un site signalé comme dangereux par Google affiche un écran rouge plein page, ce qui est un autre cas.

Pourquoi mon site internet n'est‑il pas sécurisé alors que j'ai un certificat ?

Le certificat est peut‑être expiré, installé sur une seule version de l’adresse, ou le site charge encore des éléments en http (contenu mixte). Le testeur et la console du navigateur permettent de trancher.

Combien de temps faut‑il pour remettre un site en connexion sécurisée ?

Aucune source ne donne de délai fiable : tout dépend de la cause. Un renouvellement de certificat est une opération courte pour l’hébergeur, une correction de contenu mixte dépend du nombre d’éléments à modifier.

Dois‑je prévenir mes clients ?

Si votre formulaire ou votre boutique a fonctionné sans connexion sécurisée, corrigez d’abord, puis évaluez avec votre prestataire si des données personnelles ont circulé. Un simple message sur vos réseaux peut rassurer.

Quand passer la main à un professionnel ?

Appelez un professionnel si votre hébergeur ne répond pas, si le certificat se réinstalle mais l’alerte revient, si un CDN est impliqué, ou si vous voyez un écran rouge ou des redirections inconnues. Le plus économique reste d’éviter le problème : un contrat de maintenance doit inclure la surveillance de la date d’expiration du certificat (voir ce qu’un forfait doit contenir).