Un visiteur saisit l’adresse de votre entreprise et tombe sur une demande de confirmation avant même de voir votre page. Il peut poursuivre, mais il peut aussi fermer l’onglet et choisir un concurrent. Pour une PME, ce petit détour suffit à compliquer une prise de contact, une demande de devis ou un achat.
La raison de vérifier votre site est désormais très concrète : dans les notes de Chrome 154, dont la version stable est datée du 22 septembre 2026, Google indique que Chrome demande par défaut aux utilisateurs leur accord lorsqu’ils se connectent à un site en HTTP. Cette évolution ne signifie pas que tous les sites HTTP seront automatiquement bloqués, mais elle rend l’accès non chiffré plus visible et ajoute une étape pour le visiteur. Les notes officielles de Chrome 154 précisent également que les administrateurs peuvent gérer ce comportement au moyen d’une politique d’entreprise.
La bonne réponse n’est pas de paniquer ni de considérer HTTPS comme une garantie absolue. Il s’agit de vérifier méthodiquement le certificat, les redirections et les ressources chargées sur vos pages, puis de corriger ce qui pourrait inquiéter vos visiteurs ou dégrader l’expérience. Voici une checklist accessible aux professionnels qui veulent prioriser l’essentiel.
Ce qui change pour les visiteurs d’un site HTTP
Une étape supplémentaire avant l’affichage
HTTP est le protocole historique utilisé pour consulter des pages web. HTTPS ajoute une connexion chiffrée entre le navigateur et le site, avec un certificat qui permet notamment au navigateur de vérifier l’identité présentée par le serveur. Dans Chrome 154, la nouvelle option par défaut « Ask before HTTP » signifie qu’une personne qui tente d’ouvrir une adresse HTTP peut être invitée à confirmer qu’elle souhaite continuer. Le comportement exact dépend aussi des paramètres et du contexte de navigation de l’utilisateur.
Pour votre entreprise, l’enjeu immédiat est pratique : une personne qui arrive par un ancien lien, une adresse tapée sans préfixe ou une page encore publiée en HTTP peut hésiter face à cette demande. C’est particulièrement sensible sur les pages de contact, les formulaires, les réservations et les boutiques, où la confiance et la simplicité du parcours comptent. Il ne faut toutefois pas conclure que Chrome affiche le même avertissement à chaque visiteur, ni que l’avertissement prouve à lui seul qu’un site a été piraté.
HTTPS protège le transport, pas toute l’entreprise
HTTPS aide à protéger les données échangées contre l’écoute ou la modification pendant leur transfert. Il ne garantit pas que le contenu du site est vrai, que le serveur est correctement maintenu, que les mots de passe sont robustes ou que le site est exempt de faille. Un site peut avoir un certificat valide et rester vulnérable à une extension obsolète, à un compte compromis ou à une mauvaise configuration. Considérez donc HTTPS comme une mesure nécessaire pour un site professionnel, pas comme un audit de sécurité complet.
Checklist express : vérifier l’accès HTTPS
1. Tester les principales variantes de votre adresse
Dans une fenêtre privée de votre navigateur, essayez les variantes avec et sans « www », ainsi que les adresses commençant par http:// et https://. Vérifiez que chaque variante aboutit à une seule adresse canonique en HTTPS, sans boucle ni page intermédiaire surprenante. Par exemple, l’objectif peut être que http://exemple.be et http://www.exemple.be arrivent toutes deux sur https://www.exemple.be, si c’est la version choisie pour votre site.
- La page d’accueil s’ouvre directement en HTTPS.
- Les variantes HTTP redirigent vers la version HTTPS.
- Les anciennes URL importantes arrivent à la bonne page, plutôt qu’à une erreur.
- Le navigateur ne signale ni certificat expiré ni nom de domaine incohérent.
2. Contrôler le certificat et son renouvellement
Cliquez sur l’icône à gauche de l’adresse dans le navigateur et consultez les informations de connexion et de certificat. Vérifiez que le certificat couvre bien le domaine utilisé, qu’il est valide et que la chaîne de certification est reconnue par le navigateur. Si plusieurs domaines ou sous-domaines sont utilisés — par exemple boutique.exemple.be ou espace.exemple.be — assurez-vous que chacun est couvert et servi correctement.
Demandez à la personne qui gère l’hébergement comment le certificat est renouvelé et qui reçoit les alertes en cas d’échec. Un certificat gratuit ou automatisé peut être tout à fait adapté, mais son renouvellement doit fonctionner et être surveillé. Ne modifiez pas les réglages DNS ou serveur à l’aveugle : une erreur peut rendre le site ou les courriels indisponibles.
3. Repérer les contenus mixtes
Une page HTTPS peut encore demander certaines ressources en HTTP : image, script, feuille de style, police, vidéo, formulaire intégré ou fichier téléchargeable. On parle alors de contenu mixte. Les navigateurs peuvent bloquer certaines ressources non sécurisées ou tenter d’en mettre d’autres à niveau, ce qui peut provoquer une mise en page incomplète ou une fonctionnalité qui ne marche plus. La documentation MDN explique les catégories de contenu mixte et recommande de servir les ressources en HTTPS. Voir le guide MDN sur le contenu mixte.
Pour un premier contrôle, ouvrez les pages importantes, puis les outils de développement du navigateur et consultez l’onglet Console. Cherchez les messages contenant « mixed content » ou des URL en http://. Testez au minimum la page d’accueil, les pages de services, les formulaires et, si vous en avez une, la boutique. Une inspection visuelle seule ne suffit pas : un élément bloqué peut être discret ou apparaître uniquement après une interaction.
4. Vérifier les liens et intégrations externes
Inspectez les liens ajoutés au fil du temps : anciens boutons, images importées, vidéos, cartes, scripts de mesure ou documents à télécharger. Quand la ressource externe propose HTTPS, utilisez son adresse sécurisée. Si elle n’est plus disponible ou si vous ne savez pas à quoi elle sert, demandez conseil avant de la supprimer : une intégration peut être liée à un formulaire ou à un outil métier.
Que faire si un problème est détecté ?
Corriger dans le bon ordre
- Documentez le symptôme. Notez l’adresse testée, le navigateur, le message affiché et la page concernée. Une capture d’écran facilite le diagnostic.
- Vérifiez l’hébergement. Confirmez que le certificat est installé pour le bon domaine et que son renouvellement est prévu.
- Configurez la redirection. Faites rediriger les variantes HTTP vers leur équivalent HTTPS et choisissez une adresse canonique cohérente. Testez ensuite les pages et les anciens liens importants.
- Nettoyez les références HTTP. Remplacez les adresses non sécurisées des ressources internes et corrigez les intégrations externes lorsque c’est possible. Sur un CMS, contrôlez aussi les réglages du site et les contenus enregistrés.
- Retestez les parcours utiles. Soumettez le formulaire, vérifiez les images et les téléchargements, et testez le panier ou le paiement s’il y a lieu. Une redirection réussie sur la page d’accueil ne prouve pas que tout le site fonctionne.
Sur WordPress, une migration HTTPS peut nécessiter la mise à jour des réglages, des liens enregistrés dans la base de données et de certaines extensions. Faites une sauvegarde avant toute intervention, puis testez idéalement les changements sur un environnement de préproduction. Si votre site génère des demandes commerciales, planifiez la correction à un moment où vous pouvez vérifier les formulaires et les conversions après mise en ligne.
Checklist à transmettre à votre prestataire
- Le certificat est-il valide pour toutes les variantes de domaine utilisées ?
- Les adresses HTTP redirigent-elles toutes vers HTTPS sans boucle ?
- Les pages importantes comportent-elles des ressources HTTP encore actives ?
- Les formulaires, paiements, téléchargements et intégrations fonctionnent-ils après correction ?
- Qui surveille les alertes de certificat et les changements d’hébergement ?
Encadré pratique : le test de dix minutes
À faire aujourd’hui : ouvrez une fenêtre privée, saisissez votre domaine en HTTP, puis en HTTPS, et observez le résultat. Parcourez ensuite trois pages qui comptent pour votre activité : une page de service, votre formulaire de contact et, si pertinent, une page produit. Si le navigateur demande de confirmer l’accès, si le certificat semble invalide ou si une page perd ses images ou ses fonctions, consignez l’adresse exacte et transmettez-la à la personne responsable du site. Ce test rapide ne remplace pas un audit technique, mais il permet de prioriser les problèmes visibles.
Éviter les fausses conclusions
Un avertissement n’est pas un diagnostic complet
La demande de confirmation de Chrome concerne l’accès à une connexion HTTP. Elle ne constitue pas une preuve que le site a été compromis. Inversement, voir HTTPS dans la barre d’adresse n’est pas une preuve que le site est parfaitement sûr. Il faut distinguer trois sujets : la sécurisation de la connexion, la configuration technique du site et la sécurité opérationnelle de l’entreprise, notamment les mises à jour, les sauvegardes et la gestion des comptes.
Il est également utile de ne pas confondre redirection et réparation. Une redirection de HTTP vers HTTPS règle le chemin d’accès initial, mais elle ne corrige pas forcément des ressources HTTP inscrites dans les pages, un formulaire qui envoie des données à une adresse non sécurisée ou un certificat mal configuré sur un sous-domaine. Chaque parcours doit être testé après les changements.
Faire de la vérification un réflexe de maintenance
Ajoutez le contrôle des certificats et des redirections à la routine de maintenance du site, notamment après un changement d’hébergeur, une refonte ou l’installation d’une extension. Un site professionnel évolue : les pages anciennes, les scripts tiers et les intégrations peuvent réintroduire des références HTTP longtemps après la mise en place du certificat.
Si votre site doit être créé, modernisé ou remis en ordre, découvrez nos services de création de site web et l’ensemble de nos services web. Pour apprendre à gérer vous-même les bases de votre site, consultez également nos formations WordPress. L’objectif est de savoir quoi vérifier et quand faire appel à un spécialiste, sans prendre de risques sur le site en production.
Questions fréquentes
Chrome bloque-t-il tous les sites HTTP ?
Non. Les notes de Chrome 154 indiquent que le navigateur demande par défaut aux utilisateurs de confirmer l’accès à un site HTTP. La formulation annonce une étape de confirmation, pas un blocage universel. Les paramètres de l’utilisateur et les règles appliquées dans certains environnements peuvent aussi intervenir.
Un certificat HTTPS suffit-il à rendre mon site sûr ?
Non. HTTPS chiffre la connexion et aide à protéger les échanges en transit, mais ne corrige pas automatiquement les failles du site, les mots de passe faibles, les extensions obsolètes ou les pratiques de sauvegarde insuffisantes. Il faut le considérer comme un socle, accompagné d’une maintenance adaptée.
Mon site est en HTTPS : pourquoi la console signale-t-elle encore HTTP ?
Une page HTTPS peut charger des ressources depuis des adresses HTTP, par exemple une image, un script ou une intégration. C’est du contenu mixte. Repérez les URL concernées dans la console et remplacez-les par des ressources HTTPS lorsque c’est possible, puis vérifiez que les éléments et fonctions de la page s’affichent correctement.
Dois-je installer moi-même une redirection ou renouveler le certificat ?
Si vous ne gérez pas l’hébergement ou le serveur, confiez ces changements à votre prestataire. Une mauvaise configuration peut provoquer une boucle de redirection, rendre un sous-domaine inaccessible ou perturber d’autres services. Vous pouvez toutefois lui transmettre les résultats de la checklist pour accélérer le diagnostic.
Conclusion : une vérification simple, un parcours plus rassurant
Le changement annoncé dans Chrome 154 donne aux PME une raison concrète de contrôler les accès HTTP à leur site. Commencez par tester les variantes de votre adresse, vérifiez le certificat, confirmez les redirections et cherchez les contenus mixtes sur les pages clés. Puis retestez les formulaires et les fonctions commerciales. HTTPS ne garantit pas à lui seul une sécurité complète, mais un accès correctement configuré évite une friction inutile et constitue une base sérieuse pour un site professionnel.
Vous avez repéré un avertissement ou vous ne savez pas si votre configuration est correcte ? Contactez Enovatic pour faire le point sur votre site et définir les corrections à prioriser.
Sources
- developer.chrome.com — https://developer.chrome.com/release-notes/154
- developer.mozilla.org — https://developer.mozilla.org/fr/docs/Web/Security/Defenses/Mixed_content
Besoin d’un accompagnement sur mesure ?
Nos experts en design, développement web et référencement accompagnent les entreprises belges au quotidien. Découvrez nos services de création de site web, nos formations professionnelles et nos réalisations.
Contactez-nous pour un devis gratuit.
Photo d'illustration : FlyD sur Unsplash.