Pourquoi mon site affiche « Non sécurisé » ? Causes et solutions | We.Inc
Découvrez pourquoi un navigateur marque votre site comme Non sécurisé : pas de HTTPS, un certificat expiré ou qui ne correspond pas, ou du contenu mixte. Corrigez chaque cause et scannez du HTML collé pour trouver les liens http://.
Les navigateurs affichent Non sécurisé quand une page n'est pas servie via une connexion HTTPS privée. En général, l'un de ces trois problèmes est en cause : le site n'a pas de certificat SSL, le certificat a expiré ou ne correspond pas au domaine, ou une page HTTPS charge encore certains fichiers en simple http://. Chaque cause a sa propre solution ci-dessous.
Les causes habituelles et par où commencer
Ce que vous voyez
Cause probable
Première correction
Non sécurisé sur toutes les pages, l'adresse commence par http://
Pas de certificat, ou pas de redirection vers HTTPS
Activez le SSL chez votre hébergeur, puis redirigez http:// vers https://
Avertissement en pleine page sur la connexion
Certificat expiré, ou émis pour un autre nom
Renouvelez-le, ou réémettez-le pour couvrir à la fois example.com et www.example.com
Cadenas absent sur une seule page
Contenu mixte : un fichier de cette page se charge en http://
Changez l'adresse de ce fichier en https:// (scan ci-dessous)
Avertissement uniquement sur une page de formulaire
Le formulaire envoie vers une adresse http://
Faites pointer l'action du formulaire vers une adresse https://
HTTPS est la version chiffrée du protocole de transfert du web, et le certificat SSL (plus précisément TLS) est le fichier qui prouve que votre domaine est bien titulaire de la connexion. La page d'aide de Chrome indique que sur un site Non sécurisé, la confidentialité de la connexion pose problème et que quelqu'un pourrait voir les informations que les visiteurs envoient ou reçoivent. Traitez les causes dans l'ordre : d'abord le certificat, ensuite la redirection, enfin le contenu mixte.
Ouvrez votre site en tapant https:// devant. Si le navigateur refuse, le certificat est absent, expiré ou émis pour un autre nom.
Si https:// fonctionne mais que le simple http:// se charge encore sans redirection, ajoutez une redirection permanente chez votre hébergeur.
Si le cadenas manque sur une page qui se charge bien en HTTPS, affichez le code source de cette page et collez-le dans le scanner ci-dessus.
Changez chaque adresse signalée en https:// (ou supprimez le fichier), publiez, puis rechargez la page.
La plupart des hébergeurs et créateurs de sites émettent des certificats gratuits et les renouvellent automatiquement. Si le vôtre a expiré, vérifiez que le domaine pointe toujours vers cet hébergeur.
Couvrez à la fois le domaine nu et la version www, car les visiteurs tapent les deux.
Les anciens articles de blog intègrent souvent des images depuis des adresses http://. Recherchez "http://" dans votre contenu et mettez-les à jour en masse.
N'ajoutez l'en-tête Strict-Transport-Security qu'une fois que toutes les pages fonctionnent en HTTPS, car les navigateurs refusent ensuite de revenir à http://.
Questions fréquentes
Est-il dangereux de visiter un site Non sécurisé ?
Lire une simple page d'information présente peu de risques, mais tout ce qui y est saisi (un mot de passe, un numéro de carte ou un message de formulaire de contact) peut être lu ou modifié en chemin. C'est pour cela que les navigateurs avertissent, et que les visiteurs s'en vont.
Combien de temps dure un certificat SSL ?
Cela dépend de l'émetteur. Let's Encrypt, une autorité de certification gratuite et à but non lucratif, indique que ses certificats par défaut sont valables 90 jours, d'où l'importance du renouvellement automatique. Les certificats payants ont leurs propres conditions.
Non sécurisé nuit-il à mon classement dans les résultats de recherche ?
Google n'a pas publié de pondération que nous pourrions citer, nous ne ferons donc pas de supposition. Le coût concret, ce sont les visiteurs qui voient l'avertissement et partent avant de lire quoi que ce soit.
Pourquoi une seule page affiche-t-elle l'avertissement ?
Cette page charge presque toujours quelque chose en http:// : une image, un script, une police, une vidéo intégrée ou la cible d'un formulaire. Collez son code source dans le scanner pour trouver l'adresse.
Puis-je corriger le contenu mixte sans modifier chaque page ?
En partie. La directive Content-Security-Policy upgrade-insecure-requests demande aux navigateurs de charger chaque ressource en HTTPS. Elle n'aide que si l'autre serveur propose aussi HTTPS, donc corriger les adresses reste la solution propre.
Cause 1 : pas de certificat ou pas de redirection
Si la barre d'adresse affiche http:// sur toutes les pages, le site est servi sans chiffrement. Activez le SSL dans le tableau de bord de votre hébergeur ou de votre créateur de site ; la plupart émettent un certificat gratuit en quelques minutes.
Une fois que https:// se charge, redirigez toutes les requêtes http:// vers cette version avec une redirection permanente (301), pour que les anciens liens et favoris arrivent sur la version sécurisée.
Cause 2 : certificat expiré ou non conforme
Un certificat a une date de fin et liste les noms exacts qu'il couvre. Quand il expire, ou quand quelqu'un visite www.example.com alors que le certificat ne mentionne que example.com, les navigateurs affichent une erreur en pleine page au lieu d'une petite mention.
Cliquez sur l'icône à côté de l'adresse pour voir les dates et les noms du certificat, puis renouvelez-le ou réémettez-le depuis votre hébergeur.
Cause 3 : contenu mixte
MDN définit le contenu mixte comme une page chargée de façon sécurisée qui récupère certaines ressources en HTTP. Les navigateurs essaient de passer automatiquement les images, l'audio et la vidéo en HTTPS, et bloquent les scripts, feuilles de style, iframes et polices qui utilisent http://.
Les fichiers bloqués cassent certaines parties de la page, tandis que ceux qui sont mis à niveau peuvent échouer sans bruit si l'autre serveur n'a pas de HTTPS. Dans les deux cas, changez l'adresse en https://.
Quels fichiers http:// les navigateurs corrigent et lesquels ils bloquent
Ce tableau suit la référence de MDN sur le contenu mixte. Les requêtes pouvant être mises à niveau sont réécrites en HTTPS par le navigateur ; tout le reste de la liste est bloqué.
Traitement du contenu mixte par le navigateur (MDN)
Ressource
Comportement du navigateur
<img src>, <audio src>, <video src>, <source>
Passé automatiquement en https://
Une image dont l'adresse est une IP nue, comme http://93.184.215.14/
Bloquée, pas mise à niveau
<img srcset> ou images dans <picture>
Bloqué
<script src>, feuilles de style <link href>, <iframe src>
Bloqué
Polices web, appels fetch() et XMLHttpRequest, <object data>
Bloqué
Deux en-têtes utiles une fois que HTTPS fonctionne
Ajoutez-les chez votre hébergeur ou votre CDN. Le premier demande aux navigateurs de mettre à niveau chaque requête ; le second leur indique d'utiliser désormais uniquement HTTPS pour ce domaine.
Mettre à niveau chaque requête
Une solution provisoire le temps de corriger les anciennes adresses. Elle ne fonctionne que pour les fichiers également disponibles en HTTPS.
Strict-Transport-Security (HSTS)
max-age est en secondes ; 31536000 correspond à un an. Les navigateurs qui le voient ne laissent plus les visiteurs passer outre les erreurs de certificat, alors testez d'abord.
Scanner de contenu mixte
Collez le HTML d'une page (clic droit sur la page, puis Afficher le code source de la page, puis copiez). Le scan s'exécute dans votre navigateur et rien n'est envoyé.
HTML de la page
{n} adresses http:// trouvées.
Aucune adresse http:// trouvée dans ce que vous avez collé.
Adresse
Emplacement
Ce qui se passe
Peut être mise à niveau : le navigateur essaie lui-même https://, et le fichier disparaît si le serveur n'a pas de HTTPS
Bloquée sur une page HTTPS : changez-la en https://
Le formulaire envoie ses données sans chiffrement : changez l'action en https://