Site non sécurisé : pourquoi ce message et comment le corriger 🔒

Que signifie « site non sécurisé » ?

« Non sécurisé » veut dire que la connexion entre le visiteur et le site n'est pas chiffrée. Les données échangées peuvent être lues en chemin. Il manque un HTTPS valide.

Ce message s’affiche dans la barre d’adresse du navigateur, à gauche de l’adresse du site. Chrome, Firefox, Safari et Edge l’utilisent tous, avec des mots ou une icône un peu différents.

HTTP ou HTTPS : la différence en une image

Un site en HTTP envoie les informations comme une carte postale. Tout le monde sur le trajet peut la lire : le wifi du café, un réseau public, un appareil mal intentionné.

Un site en HTTPS met la carte dans une enveloppe scellée. Le « S » veut dire sécurisé. Les échanges sont chiffrés, c’est-à-dire brouillés pour que seuls le site et le visiteur puissent les lire.

Pour passer en HTTPS, le site a besoin d’un certificat SSL (on dit aussi TLS, c’est sa version moderne). C’est une sorte de carte d’identité numérique. Elle prouve que le site est bien celui qu’il prétend être.

Ce que voit votre client

• Avec un HTTPS valide : un cadenas ou une petite icône de réglages, et aucun avertissement.
• Sans HTTPS : la mention « Non sécurisé », parfois en rouge dès qu’il y a un formulaire.
• Avec un certificat en erreur : une page entière d’alerte, du type « Votre connexion n’est pas privée ».

Un exemple concret

Une boulangerie a un petit site avec un formulaire de commande de gâteaux. Le client tape son nom, son téléphone et la date de retrait. Sans HTTPS, ces informations circulent en clair. Le navigateur le signale, et le client hésite.

Le message ne veut donc pas dire que votre site est piraté. Il dit seulement que la connexion n’est pas protégée. C’est un problème de réglage, presque toujours simple à corriger.

Pourquoi mon site est-il marqué « non sécurisé » ?

Le plus souvent, le site n'a pas de certificat SSL, ou celui-ci a expiré, ne correspond pas au nom de domaine, ou certaines images se chargent encore en HTTP.

Le message a toujours une cause précise. Il suffit de la trouver. Six cas reviennent presque tout le temps.

1. Aucun certificat installé

C’est fréquent sur les sites créés il y a des années et jamais revus. Le site fonctionne, mais seulement en HTTP.

2. Le certificat a expiré

Un certificat a une date de fin. S’il n’est pas renouvelé à temps, le navigateur affiche une alerte. Le site marchait hier, il inquiète aujourd’hui.

3. Le certificat ne couvre pas la bonne adresse

Il protège « votresite.fr » mais pas « www.votresite.fr », ou l’inverse. Le visiteur qui tape l’autre version tombe sur une erreur.

4. Le site ne bascule pas en HTTPS tout seul

Le certificat est là, mais personne n’a réglé la redirection. Une redirection renvoie automatiquement le visiteur de l’adresse en HTTP vers celle en HTTPS. Sans elle, une partie des visiteurs reste sur la version non protégée.

5. Du contenu mixte

La page est en HTTPS, mais une image, une vidéo ou un script se charge encore en HTTP. Le navigateur juge alors la page incomplète et retire le cadenas.

6. Un souci côté visiteur

Parfois, le site n’y est pour rien. Un ordinateur à la mauvaise date, un antivirus trop zélé ou un wifi d’hôtel peuvent provoquer une erreur de certificat.

Comment savoir dans quel cas vous êtes

• Le message apparaît chez tout le monde, sur tous les appareils : le problème vient du site.
• Il apparaît chez un seul client : regardez d’abord son appareil ou son réseau.
• Il est apparu du jour au lendemain : pensez au certificat expiré.
• Il touche seulement certaines pages : pensez au contenu mixte.

Un coiffeur qui a refait son site lui-même tombe souvent sur le cas 5. Le logo ou la galerie photo pointent encore vers l’ancienne adresse en HTTP.

Site non sécurisé : quels risques pour vous et vos clients ?

Les données saisies peuvent être interceptées, les visiteurs perdent confiance et partent, et le site paraît négligé. Pour une entreprise, c'est surtout des contacts et des ventes en moins.

Pour vos visiteurs

Sur un réseau public, une personne mal intentionnée peut lire ce qui passe en HTTP : nom, adresse, téléphone, message, parfois un mot de passe. Le risque dépend du réseau, mais il existe.

Pour votre entreprise

Le vrai coût est commercial. Prenons un plombier. Un client a une fuite, il cherche en urgence, il trouve le site. Au moment de remplir le formulaire de rappel, le navigateur affiche « Non sécurisé ». Il ne cherche pas à comprendre. Il revient en arrière et appelle le suivant.

Les conséquences les plus courantes :

• Moins de demandes de devis : les formulaires inquiètent.
• Une image abîmée : le site semble abandonné, même si l’entreprise tourne très bien.
• Des ventes bloquées : les solutions de paiement en ligne exigent une connexion sécurisée.
• Un handicap face à Google : Google a annoncé dès 2014 que le HTTPS compte parmi ses critères de classement. Son poids reste modeste, mais c’est un handicap inutile.
• Un site invisible : avec un certificat expiré ou invalide, beaucoup de visiteurs ne voient même plus vos pages.

Le cas des avertissements plein écran

Un simple « Non sécurisé » gêne. Une page « Votre connexion n’est pas privée » fait fuir presque tout le monde. Seuls les plus curieux cliquent sur « Paramètres avancés » pour continuer.

Sécurité et visibilité vont ensemble

Un site propre, rapide et sécurisé est la base d’une bonne visibilité locale. C’est ce socle qui permet ensuite de travailler le référencement, comme pour TB Rénovation & Nettoyage, couvreur en Loire-Atlantique.

Pour un avocat, un cabinet comptable ou un gîte qui reçoit des documents ou des réservations, le sujet est encore plus sensible. Vos clients vous confient des informations personnelles. Ils attendent qu’elles voyagent protégées.

Comment vérifier le certificat SSL d’un site ?

Cliquez sur l'icône à gauche de l'adresse dans le navigateur, puis sur « La connexion est sécurisée » et « Le certificat est valide ». Vous voyez le titulaire et les dates.

La vérification prend une minute. Aucun outil à installer.

Dans Chrome ou Edge

1. Ouvrez votre site.
2. Cliquez sur l’icône à gauche de l’adresse (cadenas ou petite icône de réglages).
3. Cliquez sur « La connexion est sécurisée », puis sur « Le certificat est valide ».
4. Une fenêtre s’ouvre avec les détails.

Google détaille ces étapes dans sa page d’aide pour vérifier si la connexion à un site est sécurisée.

Dans Firefox et Safari

Le principe est le même : un clic sur le cadenas, puis sur les informations de connexion. Les intitulés changent un peu, les informations restent identiques.

Les trois points à regarder

Information	Ce qu’il faut vérifier
Délivré à	Votre nom de domaine exact, avec ou sans « www »
Délivré par	Un organisme reconnu (Let’s Encrypt, Sectigo, DigiCert…)
Période de validité	La date de fin n’est pas dépassée, ni toute proche

Testez les différentes versions de l’adresse

Tapez votre adresse avec « www », puis sans. Tapez aussi « http:// » devant. Dans tous les cas, vous devez arriver sur la version en HTTPS, sans alerte. Si une seule version pose problème, vous tenez la piste.

Pour aller plus loin

Des outils gratuits en ligne analysent votre certificat en détail, comme SSL Server Test de Qualys. Ils donnent une note et listent les réglages à revoir. Le résultat est technique, mais utile à transmettre à votre prestataire.

Votre espace client chez l’hébergeur (OVH, o2switch, Ionos…) affiche aussi l’état du certificat. Cherchez une rubrique « SSL », « Certificat » ou « Sécurité ». La date d’expiration y figure presque toujours.

Un conseil simple : notez cette date dans votre agenda, avec un rappel un mois avant.

Site non sécurisé : que faire tout de suite ?

Visiteur : ne saisissez aucune donnée et vérifiez l'adresse. Propriétaire : identifiez la cause, contactez votre hébergeur ou prestataire, puis installez ou renouvelez le certificat SSL.

La bonne réaction dépend de votre place : vous visitez le site, ou c’est le vôtre.

Vous êtes simple visiteur

• Ne tapez rien de sensible : ni carte bancaire, ni mot de passe, ni pièce d’identité.
• Vérifiez l’adresse : une lettre en trop ou une extension étrange peut signaler un faux site.
• Vérifiez la date et l’heure de votre appareil : une date fausse déclenche des erreurs de certificat.
• Changez de réseau : passez du wifi public à la 4G pour voir si l’erreur persiste.
• Prévenez l’entreprise : un message lui rend service. Souvent, elle ne le sait pas.

Un site vitrine sans formulaire, consulté pour lire des horaires, présente peu de risque. La prudence vaut surtout dès qu’il faut saisir quelque chose.

C’est votre site

Pas de panique. Dans la grande majorité des cas, rien n’est cassé et rien n’est perdu.

1. Faites le constat : le message apparaît-il sur toutes les pages, sur tous les appareils ?
2. Vérifiez le certificat : absent, expiré ou au mauvais nom ?
3. Regardez vos e-mails : l’hébergeur a peut-être envoyé une alerte d’expiration ou de paiement refusé.
4. Contactez la bonne personne : votre hébergeur, l’agence qui a créé le site ou votre prestataire de maintenance.
5. Notez ce qui a changé récemment : nouveau thème, changement d’hébergeur, modification du nom de domaine.

Ce qu’il ne faut pas faire

• Supprimer des fichiers au hasard.
• Acheter un certificat payant dans l’urgence, sans savoir si l’hébergeur en offre un gratuit.
• Demander à vos clients d’ignorer l’alerte. Ils ne le feront pas, et c’est tant mieux.

Un gîte qui reçoit ses réservations par formulaire a tout intérêt à corriger le jour même. Chaque jour d’alerte peut coûter des demandes.

Comment mettre un site non sécurisé en sécurisé ?

Installez un certificat SSL, souvent gratuit chez l'hébergeur, forcez la redirection vers HTTPS, mettez à jour l'adresse du site et corrigez les éléments encore chargés en HTTP.

Passer un site en HTTPS se fait en quelques étapes. Sur un site simple, c’est souvent l’affaire d’une heure. Sur un site ancien ou plus gros, comptez davantage.

Étape 1 : installer le certificat

La plupart des hébergeurs proposent un certificat gratuit, souvent fourni par Let’s Encrypt, un organisme à but non lucratif. Il s’active en quelques clics dans l’espace client. Le détail par hébergeur se trouve dans le pas-à-pas pour installer un certificat SSL sur OVH, o2switch ou WordPress.

Sur Wix, Shopify ou Squarespace, le certificat est généralement inclus et activé par défaut. Vérifiez simplement qu’il est actif dans les réglages du domaine.

Étape 2 : forcer le HTTPS

Toute visite en HTTP doit être renvoyée vers HTTPS. On parle de redirection 301, une redirection « définitive » que Google comprend bien. Beaucoup d’hébergeurs proposent une case « Forcer HTTPS ». Sinon, quelques lignes dans un fichier de configuration suffisent, à confier à un technicien si besoin.

Étape 3 : mettre à jour l’adresse du site

Sur WordPress, allez dans Réglages > Général. Les deux champs d’adresse doivent commencer par « https:// ». Faites une sauvegarde avant de toucher à ces champs.

Étape 4 : corriger le contenu mixte

Images, vidéos, polices et scripts doivent tous se charger en HTTPS. Les liens écrits à la main dans les pages sont les plus souvent oubliés.

Étape 5 : tester

• Testez toutes les versions de l’adresse.
• Remplissez votre propre formulaire de contact.
• Vérifiez sur ordinateur et sur téléphone.

Étape 6 : mettre à jour vos liens ailleurs

Indiquez l’adresse en HTTPS sur votre fiche d’établissement Google, vos réseaux sociaux, vos signatures d’e-mail et les annuaires. Les redirections font le travail, mais une adresse propre partout, c’est plus net.

Un exemple

Un électricien a un site WordPress de dix pages. Certificat activé chez l’hébergeur, case « Forcer HTTPS » cochée, adresse mise à jour, deux images corrigées. Le cadenas apparaît dans la foulée.

Que faire quand le certificat SSL est expiré ?

Renouvelez-le depuis l'espace client de l'hébergeur ou relancez le renouvellement automatique. Vérifiez ensuite le paiement et les réglages du domaine pour que l'expiration ne se reproduise pas.

Un certificat SSL n’est jamais éternel. Ceux de Let’s Encrypt durent 90 jours et se renouvellent normalement tout seuls. Les certificats payants durent au plus environ un an aujourd’hui, et ces durées maximales doivent encore raccourcir dans les années à venir.

Les signes d’un certificat expiré

• Le site marchait la veille et affiche soudain une page d’alerte.
• Chrome indique un code du type « NET::ERR_CERT_DATE_INVALID ».
• La date de fin, visible en cliquant sur l’icône de l’adresse, est dépassée.

Pourquoi le renouvellement a échoué

• Paiement refusé : carte bancaire expirée chez l’hébergeur ou le vendeur du certificat.
• Renouvellement automatique désactivé : parfois sans le savoir, lors d’un changement d’offre.
• Nom de domaine déplacé : les réglages DNS (l’annuaire qui relie votre adresse à votre serveur) pointent ailleurs, et le renouvellement ne peut plus se valider.
• Changement d’hébergeur : l’ancien certificat n’a pas suivi.

Comment corriger

1. Connectez-vous à l’espace client de votre hébergeur.
2. Ouvrez la rubrique SSL ou Certificat.
3. Relancez la génération ou le renouvellement. Pour un certificat gratuit, c’est souvent un simple bouton.
4. Pour un certificat payant, réglez le renouvellement puis installez le nouveau certificat si l’hébergeur ne le fait pas.
5. Attendez quelques minutes à quelques heures, puis testez à nouveau.

Gratuit ou payant ?

Un certificat payant coûte, selon le type et le vendeur, de quelques dizaines à quelques centaines d’euros par an. Les tarifs changent souvent. Pour un site vitrine d’artisan, un certificat gratuit offre le même chiffrement. Les modèles payants répondent surtout à des besoins précis, comme une vérification renforcée de l’entreprise.

Le bon réflexe

Un commerçant qui vend en ligne ne peut pas se permettre une boutique bloquée un samedi. Une alerte avant l’expiration évite ce scénario. Beaucoup d’hébergeurs en envoient : vérifiez qu’elles arrivent sur une adresse e-mail que vous lisez vraiment.

Erreur de certificat SSL : pourquoi le certificat est-il invalide ?

Un certificat est invalide quand il ne correspond pas à l'adresse visitée, qu'il vient d'un émetteur non reconnu, qu'il est expiré ou qu'il est mal installé.

Le navigateur vérifie le certificat à chaque visite. Au moindre doute, il affiche une page d’alerte avec un code. Ce code est précieux : il dit exactement ce qui cloche.

Les codes d’erreur les plus fréquents

Code affiché (Chrome)	Ce que ça veut dire	Piste de solution
NET::ERR_CERT_DATE_INVALID	Certificat expiré, ou date fausse sur l’appareil	Renouveler, ou corriger l’heure de l’appareil
NET::ERR_CERT_COMMON_NAME_INVALID	Le certificat ne couvre pas cette adresse	Ajouter la version avec ou sans « www »
NET::ERR_CERT_AUTHORITY_INVALID	Émetteur non reconnu, certificat « fait maison »	Installer un certificat d’un organisme reconnu
ERR_SSL_PROTOCOL_ERROR	Échange impossible entre navigateur et serveur	Revoir la configuration chez l’hébergeur

Google liste ces messages et leurs causes possibles dans son aide pour corriger les erreurs de connexion dans Chrome.

Le piège du nom de domaine

Un certificat est lié à une adresse précise. Si vous avez plusieurs adresses (une en « .fr », une en « .com », une avec tiret), chacune doit être couverte ou redirigée proprement. Si la notion reste floue, l’explication de ce qu’est un nom de domaine et à quoi il sert aide à y voir clair.

Le certificat installé à moitié

Un certificat s’accompagne de fichiers dits « intermédiaires ». Ils prouvent le lien entre votre certificat et l’organisme qui l’a délivré. S’ils manquent, certains navigateurs ou téléphones refusent la connexion, d’autres non. Résultat : le site marche chez vous, pas chez certains clients.

Quand l’erreur vient du visiteur

• Date ou heure fausse sur l’ordinateur.
• Antivirus qui inspecte les connexions.
• Wifi d’hôtel ou de gare qui demande une connexion préalable.
• Système très ancien, qui ne reconnaît plus les certificats récents.

Si un seul client signale l’erreur, demandez-lui d’essayer sur un autre appareil. Si tous la voient, le problème est de votre côté.

Comment enlever « non sécurisé » quand le certificat est déjà installé ?

Si le certificat est valide mais le message reste, cherchez le contenu mixte : images ou scripts en HTTP. Vérifiez aussi la redirection vers HTTPS et videz le cache.

C’est la situation la plus agaçante : tout semble en ordre, et pourtant le cadenas ne s’affiche pas. Trois causes expliquent presque tous les cas.

1. Le contenu mixte

La page est en HTTPS, mais elle appelle une ressource en HTTP : une photo, une vidéo intégrée, une police, un bouton de réseau social. La documentation de Google pour les développeurs explique ce qu’est le contenu mixte et pourquoi il pose problème.

Pour le repérer sans être technicien :

• Cliquez sur l’icône de l’adresse : le navigateur indique parfois que la page n’est « pas entièrement sécurisée ».
• Faites un clic droit, « Inspecter », puis l’onglet « Console » : les éléments fautifs apparaissent en jaune ou en rouge, avec leur adresse.
• Notez ces adresses et remplacez « http:// » par « https:// » dans vos pages.

Sur WordPress, une extension dédiée au passage en HTTPS peut corriger ces liens en masse. Faites toujours une sauvegarde avant.

2. La redirection manquante

Le site existe en HTTPS, mais l’ancienne version HTTP reste accessible. Ceux qui arrivent par un vieux lien, un favori ou une carte de visite imprimée voient « Non sécurisé ». La solution : une redirection 301 de toutes les pages vers leur version HTTPS.

3. Le cache

Le cache, c’est la mémoire qui garde une copie des pages pour les afficher plus vite. Il se trouve dans le navigateur, dans une extension ou chez l’hébergeur. Il sert parfois une ancienne version.

• Testez en navigation privée.
• Videz le cache de l’extension et de l’hébergeur.
• Testez depuis un téléphone en 4G.

Un exemple courant

Une fleuriste a intégré il y a longtemps une carte et une galerie photo avec des codes copiés-collés. Ces codes commençaient par « http:// ». Le site est en HTTPS, mais ces deux blocs suffisent à retirer le cadenas de la page contact. Deux lignes à modifier, et c’est réglé.

Un cadenas suffit-il à protéger votre site ?

Non. Le HTTPS protège la connexion, pas le site. Un site avec cadenas peut être piraté si les mises à jour, les mots de passe et les sauvegardes sont négligés.

Le cadenas garantit une chose : les échanges entre le visiteur et le serveur sont chiffrés. Il ne dit rien de l’état du site. Les escrocs aussi utilisent des certificats gratuits.

Ce que le HTTPS ne fait pas

• Il ne bloque pas un pirate qui exploite une extension WordPress pas à jour.
• Il ne protège pas un mot de passe trop simple, comme le nom de l’entreprise suivi de 123.
• Il ne remplace pas une sauvegarde.
• Il ne garantit pas que le site est honnête.

Les gestes de base qui complètent le HTTPS

1. Mettre à jour régulièrement le système du site, le thème et les extensions.
2. Supprimer les extensions et les comptes inutilisés.
3. Utiliser des mots de passe longs et uniques, avec la double authentification quand elle existe.
4. Sauvegarder automatiquement, et stocker les sauvegardes ailleurs que sur le serveur du site.
5. Surveiller : être prévenu si le site tombe ou change de façon anormale.

Quand le message cache un vrai problème

Parfois, un avertissement n’a rien à voir avec le certificat. Google peut signaler un site dangereux s’il contient un logiciel malveillant ou une fausse page. Des redirections vers des sites douteux, des pages en langue étrangère, des clients surpris par des e-mails étranges : ce sont d’autres signaux. Dans ce cas, suivez les étapes pour réagir vite face à un site piraté.

La sécurité, c’est aussi la conformité

Un formulaire de contact collecte des données personnelles. Le RGPD, le règlement européen sur les données, demande de les protéger de façon adaptée. Le HTTPS y contribue, tout comme une information claire des visiteurs. Pensez aussi à vérifier les mentions légales obligatoires de votre site, souvent oubliées sur les sites refaits vite.

Un cabinet d’avocat ou un expert-comptable qui reçoit des pièces par formulaire porte une responsabilité forte. Pour eux, HTTPS, mises à jour et sauvegardes forment un minimum, pas une option.

Comment éviter que le message « non sécurisé » revienne ?

Activez le renouvellement automatique du certificat, gardez un moyen de paiement à jour, surveillez l'expiration et faites suivre le site par une maintenance régulière, en interne ou par un prestataire.

Le message « non sécurisé » revient rarement par hasard. Il revient quand personne ne surveille. La solution tient en quelques habitudes.

Si vous gérez le site vous-même

• Vérifiez que le renouvellement automatique est activé chez l’hébergeur.
• Tenez à jour la carte bancaire liée à l’hébergement et au nom de domaine.
• Notez la date d’expiration du certificat dans votre agenda.
• Utilisez une adresse e-mail que vous lisez pour les alertes techniques.
• Contrôlez le cadenas une fois par mois, sur ordinateur et sur téléphone.
• Testez à nouveau après chaque changement : thème, extension, nouvelle page.

Si vous préférez déléguer

Un artisan sur un chantier n’a pas le temps de surveiller des dates de certificat. C’est le rôle d’une maintenance. Elle couvre en général la surveillance du certificat, les mises à jour, les sauvegardes et l’intervention en cas d’alerte.

Avant de signer, lisez ce que doit prévoir un contrat de maintenance de site internet : délais d’intervention, sauvegardes, ce qui est inclus ou non. Côté budget, les offres du marché vont de quelques dizaines à plus d’une centaine d’euros par mois, selon le site et le niveau de suivi. Le détail des tarifs justes pour une maintenance WordPress aide à comparer.

Comparer les deux options

	Vous-même	Avec un prestataire
Coût	Votre temps	Un abonnement mensuel
Surveillance	Quand vous y pensez	Continue, avec alertes
En cas de panne	Vous cherchez la cause	Le prestataire intervient
Adapté à	Petit site simple, patron à l’aise	Site qui apporte des demandes ou des ventes

Si vous voulez ne plus y penser, notre service de maintenance de site internet prend en charge ce suivi : certificat, mises à jour et sauvegardes. Un boulanger, un coiffeur ou une boutique en ligne garde ainsi un site qui rassure ses clients.