Site « non sécurisé » : d'où ça vient et quoi faire

Un client vous le signale par hasard, ou vous le découvrez en montrant votre site à quelqu'un : à côté de votre adresse, le navigateur a écrit « Non sécurisé ». Parfois c'est plus brutal encore, une page d'avertissement remplit l'écran et il faut cliquer pour continuer.

Vous n'avez rien touché, rien cassé, et vous ne savez même pas à qui en parler. La bonne nouvelle, c'est que dans la grande majorité des cas votre site n'est pas abîmé : un réglage a expiré. Et le remettre en route ne devrait rien vous coûter. Voilà comment vérifier ce soir, en cinq minutes, puis quoi écrire et à qui.

Ce que votre visiteur voit, et ce qu'il en déduit

Mettez-vous à sa place. Il est 21 h, il tape votre nom, clique, et lit « Non sécurisé » juste avant votre page d'accueil. Il ne fait pas la différence entre un certificat expiré et un site piraté. Il sait seulement qu'on lui répète depuis dix ans de ne rien taper sur un site qui affiche ça.

Résultat, selon les cas : il repart, il se demande s'il est vraiment sur votre site et non sur une copie, ou il reste mais ne remplit pas votre formulaire de contact. Dans les trois cas, l'appel que vous attendiez n'arrive pas, et vous n'en saurez jamais rien.

La version la plus coûteuse est la page d'avertissement en plein écran. Là, le visiteur doit cliquer sur « continuer quand même » pour voir votre site. Personne ne fait ça pour un coiffeur ou un garage qu'il ne connaît pas encore.

Le cadenas, en une phrase

Le petit cadenas affiché à côté de votre adresse veut dire une seule chose : ce qui circule entre le téléphone du visiteur et votre site est brouillé, donc illisible en route. C'est tout. Il ne dit pas que vous êtes sérieux, que vos prix sont honnêtes ni que votre site est bien fait.

Son absence, en revanche, veut dire quelque chose de concret : ce que votre visiteur tape dans votre formulaire (son nom, son téléphone, ce qu'il cherche) voyage en clair, et le navigateur le signale. C'est la différence entre une adresse qui commence par « https » et une adresse qui commence par « http », sans le s.

Retenez l'inverse aussi, parce qu'on vous le vendra un jour : le cadenas n'est pas un gage de sérieux, un site malveillant peut en avoir un. Les « labels de sécurité » payants à coller sur votre page ne servent donc à rien.

Le test de cinq minutes, ce soir

Faites-le sur votre téléphone, pas sur l'ordinateur de l'arrière-boutique, et en 4G plutôt qu'en wifi. Notez ce que vous voyez à chaque étape sur un bout de papier : cette note, c'est déjà presque tout le diagnostic.

• Tapez votre adresse à la main et regardez la zone de l'adresse. Cadenas, mention « Non sécurisé », ou page d'avertissement ?
• Refaites-le avec et sans « www » devant votre nom de domaine. Il arrive qu'une seule des deux versions soit en règle.
• Essayez la vieille adresse en tapant « http:// » devant votre nom de domaine. Si le navigateur bascule tout seul vers la version sécurisée, c'est bon signe. S'il reste là, tous vos anciens liens envoient vos visiteurs sur une page non sécurisée.
• Ouvrez trois ou quatre pages intérieures : la carte, les tarifs, le contact, les photos. Si le cadenas disparaît sur une seule page, c'est cette page qui va chercher une photo ou une carte à une vieille adresse.
• Envoyez-vous un message test depuis votre propre formulaire. Un message qui n'arrive pas est un problème distinct, et il est fréquent.
• Faites refaire le test par quelqu'un d'autre, sur un autre appareil. Un avertissement vient parfois d'une date réglée de travers sur le téléphone, et ne concerne pas votre site.

Les quatre causes habituelles

Le certificat a expiré. C'est le cas le plus courant, et de loin. Ces certificats se renouvellent normalement tout seuls, et ils sont gratuits chez la plupart des hébergeurs depuis des années. Le renouvellement automatique a échoué, voilà tout. Un clic ou un mail suffit.

Le site répond encore en version non sécurisée. Le certificat existe, mais l'ancienne adresse n'a jamais été redirigée vers la nouvelle. Les deux versions cohabitent, et c'est la mauvaise que vos anciens liens et vos vieilles fiches envoient.

Une seule page contient un élément ancien. Une photo, une vidéo ou une carte appelée à une vieille adresse fait tomber le cadenas de cette page uniquement. Pénible à trouver, rapide à corriger pour qui a accès au site.

Le site tourne sur quelque chose d'abandonné : une plateforme que vous ne payez plus, une offre arrêtée, un prestataire disparu. Là, le cadenas n'est pas le vrai sujet, et la question devient réparer ou refaire.

À qui écrire, et quoi dire

Vous n'avez pas besoin du vocabulaire technique. Copiez ces lignes et envoyez-les à votre hébergeur, ou à la personne qui a fait votre site :

Bonjour, mon site affiche « Non sécurisé » sur mon téléphone depuis quelques jours. Pouvez-vous vérifier le certificat de mon nom de domaine, le renouveler s'il a expiré, et faire en sorte que l'ancienne adresse renvoie automatiquement vers la version sécurisée ? Merci de me confirmer si c'est inclus dans ce que je paie déjà, et sinon combien ça coûte.

Une réponse normale ressemble à : c'est réparé, c'est inclus, voici pourquoi c'était tombé. Méfiez-vous de deux réponses : celle qui vous propose un « pack sécurité » annuel pour ce seul point, et celle de quelqu'un qui ne sait pas vous dire où votre nom de domaine est enregistré. Si vous n'arrivez pas à identifier votre hébergeur, cherchez dans vos relevés bancaires et dans vos vieux mails les mots « renouvellement nom de domaine », et profitez-en pour faire les cinq vérifications de propriété.

Quand le cadenas n'est plus le vrai problème

Pendant votre test de cinq minutes, vous avez peut-être vu autre chose : un texte trop petit à lire, un menu qui ne s'ouvre pas au doigt, des tarifs de 2019, sept secondes d'attente avant l'affichage. Si c'est le cas, le cadenas absent n'est qu'un symptôme parmi d'autres, et le test de lenteur vous dira le reste.

Soyons clairs sur le moment de sortir votre carte bancaire. Si votre site est récent, lisible sur téléphone, que les informations sont à jour et que seul le certificat a sauté, gardez votre argent : un mail à votre hébergeur suffit, et personne ne devrait vous facturer ça. Un prestataire qui transforme un certificat expiré en devis à trois chiffres profite de ce que vous ne savez pas.

Quand c'est le site entier qui a vieilli, la question change. Chez Scalenvia, un site vitrine est à 300 € pour une page unique, 350 à 500 € pour un site complet, payé une fois, sans abonnement, livré en 7 jours ouvrés. L'adresse sécurisée est comprise, pas vendue en option, parce qu'elle fait partie du minimum. Et une première version est mise en ligne pour que vous la regardiez sur votre téléphone avant de payer quoi que ce soit : le détail est sur la page tarifs, les sites déjà faits sur la page réalisations.

Commencez par le test de cinq minutes. Il y a de bonnes chances qu'un seul mail règle l'affaire avant la fin de la semaine, et que ça ne vous coûte rien.