Votre site affiche « Non sécurisé » : comment le corriger

Ce que signifie vraiment « Non sécurisé »

Quand un navigateur écrit « Non sécurisé » à côté de l’adresse de votre site, il prévient le visiteur que la connexion entre son téléphone ou son ordinateur et votre site n’est pas protégée. Tout ce qu’il saisit, comme un nom, un numéro de téléphone ou une demande de rendez-vous, circule en clair et pourrait être lu ou modifié en chemin. La plupart des gens ne voient qu’un avertissement et s’en vont.

L’avertissement prend deux formes. Une petite mention « Non sécurisé » près de l’adresse signifie que le site est chargé en HTTP simple, sans aucun chiffrement. Un avertissement pleine page, du genre « Votre connexion n’est pas privée », signifie que le site a un certificat de sécurité, mais qu’il y a un problème : il est expiré, il a été émis pour un autre nom, ou son émetteur n’est pas reconnu par le navigateur. La version pleine page est pire, car beaucoup de visiteurs n’iront pas plus loin.

La solution, c’est un certificat, et il est gratuit

Les sites sécurisés utilisent HTTPS, ce qui veut dire qu’un certificat TLS est installé sur le serveur. Le certificat prouve que le site est bien le vôtre et active le chiffrement. Let’s Encrypt, un organisme sans but lucratif, les délivre gratuitement, et la plupart des hébergeurs s’en servent en coulisses.

Ces certificats ont une durée de vie courte, volontairement, et doivent être renouvelés régulièrement. Le mot important est donc automatique. Un bon hébergeur renouvelle le certificat tout seul et vous n’en entendez jamais parler. La cause habituelle d’un avertissement pleine page soudain, c’est un renouvellement qui a cessé de fonctionner sans bruit : un certificat installé à la main il y a des années, un changement d’hébergeur, ou un domaine qui pointe maintenant ailleurs. Si votre site fonctionnait hier et affiche un avertissement aujourd’hui, soupçonnez d’abord un certificat expiré.

Rediriger chaque adresse http:// vers https://

Avoir un certificat ne suffit pas. L’ancienne adresse, http://votreentreprise.ca, doit envoyer les visiteurs vers l’adresse sécurisée. Sans cette redirection, quiconque tape votre adresse, ou suit un vieux lien d’un répertoire, d’un menu imprimé ou d’une ancienne publication, arrive sur la version non protégée et voit l’avertissement.

Une redirection tient généralement à un seul interrupteur dans le panneau de l’hébergeur, souvent appelé « Forcer HTTPS ». Vérifiez le nom avec et sans www : les deux doivent mener à la même adresse sécurisée.

Le contenu mixte : le cadenas qui se plaint encore

Parfois le certificat est bon et la page est quand même signalée. La raison habituelle est le contenu mixte : la page elle-même se charge en HTTPS, mais une image, un script, une police ou une carte intégrée est encore demandé avec une adresse http://. Les navigateurs peuvent bloquer ces éléments, et votre logo ou votre bouton de réservation peut disparaître sans prévenir.

Cela arrive surtout quand un site passe de HTTP à HTTPS et que d’anciennes pages pointent encore vers les anciennes adresses. La correction consiste à changer ces adresses en https://, un travail court pour la personne qui gère le site.

HSTS, en termes simples

HSTS est une consigne que votre serveur donne aux navigateurs : « pendant un certain temps, ne me parlez qu’en HTTPS. » Une fois la consigne reçue, le navigateur du visiteur n’essaie même plus l’adresse non protégée, ce qui ferme une petite brèche dès la première étape d’une visite. C’est un complément, pas une première étape : activez-le seulement quand HTTPS fonctionne partout, car il est volontairement difficile à annuler.

Vérifier votre propre site en deux minutes

1. Tapez l’adresse dans un navigateur, à la main, en commençant par https://. La page s’ouvre-t-elle avec un cadenas ou une icône semblable, sans avertissement ?
2. Tapez-la maintenant en commençant par http://. Vous devriez arriver automatiquement sur la version https://.
3. Cliquez sur le cadenas et cherchez les détails du certificat : le nom indiqué doit être votre domaine, et la date d’expiration doit être dans le futur.
4. Ouvrez les pages les plus importantes, comme l’accueil, le contact et la réservation, et vérifiez que les images et les boutons s’affichent.

Pour un regard extérieur rapide, notre bulletin gratuit de votre site web vérifie la connexion sécurisée avec d’autres éléments de base et explique ce qu’il trouve.

À qui s’adresser, et quoi dire

Commencez par la personne ou l’entreprise qui héberge le site. C’est généralement la compagnie à qui vous payez l’hébergement ou un forfait de création de site, et son soutien technique peut vous dire si un certificat est installé et se renouvelle. Si quelqu’un a fabriqué le site pour vous, envoyez-lui le texte de l’avertissement et posez trois questions : y a-t-il un certificat valide, se renouvelle-t-il automatiquement, et chaque adresse http:// redirige-t-elle vers https:// ?

Si l’avertissement est apparu juste après l’expiration ou le changement de votre domaine, lisez notre guide que faire quand votre domaine est expiré.

Ce que fait DeMark

Les sites web que DeMark fabrique sont servis en HTTPS avec un certificat qui se renouvelle automatiquement, et les adresses http:// redirigent vers la version sécurisée. Cela fait partie du site, ce n’est pas une option. Pour voir ce que pourrait donner le vôtre, vous pouvez demander une ébauche gratuite, sans carte, ou en savoir plus sur nos sites web pour entreprises locales.