Ouvrez votre site sur votre téléphone, puis regardez juste à gauche de l’adresse. Si vous y lisez « Non sécurisé », vos visiteurs le lisent aussi. Bonne nouvelle : ce problème se règle en activant un certificat, sans refaire le site.
Ce que veut dire le cadenas (et ce qu’il ne veut pas dire)
Le cadenas indique que le site est servi en HTTPS : les échanges entre le navigateur du visiteur et votre site sont chiffrés. Concrètement, ce qu’une personne tape dans votre formulaire de contact (nom, téléphone, message) ne circule pas en clair sur le réseau, par exemple sur le Wi-Fi d’un café.
Pour cela, le site a besoin d’un certificat SSL (on dit aussi TLS, c’est la même famille). C’est un petit fichier installé chez l’hébergeur, qui prouve au navigateur que le site est bien celui de votre nom de domaine.
Attention à ne pas lui faire dire plus qu’il ne dit : le cadenas protège la connexion, il ne garantit pas que le site est honnête. Un site frauduleux peut très bien avoir son cadenas. Pour vous, l’enjeu est surtout de ne pas afficher l’inverse : un avertissement à côté de votre nom.
Petit détail qui surprend : depuis la version 117 (septembre 2023), Chrome sur ordinateur affiche une petite icône de réglages à la place du cadenas, et continue d’avertir quand la connexion n’est pas sécurisée. Ce qui compte, c’est l’absence de la mention « Non sécurisé ».
Pourquoi c’est important pour une petite entreprise
- La confiance du premier contact. Un client qui découvre votre site ne vous connaît pas encore. Depuis 2018 (version 68), Chrome affiche « Non sécurisé » sur toutes les pages en http : un mauvais signal, surtout au moment de remplir un formulaire.
- Les données de vos clients. Dès que votre site collecte des informations personnelles, vous devez les protéger. La CNIL recommande de rendre TLS (le chiffrement derrière HTTPS) obligatoire sur toutes les pages où des données personnelles sont affichées ou transmises.
- Google. Google a annoncé en août 2014 qu’il utilisait HTTPS comme signal de classement, en précisant qu’il s’agit d’un signal très léger, qui pèse moins que la qualité du contenu. Il ne suffit pas à faire monter un site.
Vérifier votre site : 5 contrôles simples
- Tapez l’adresse en http. Écrivez
http://votresite.fr(sans le « s ») dans la barre d’adresse. Le navigateur doit basculer tout seul vershttps://. S’il reste en http, la redirection n’est pas en place. - Testez avec et sans « www ».
www.votresite.fretvotresite.frdoivent tous les deux arriver sur la même adresse en https. - Cliquez sur l’icône à gauche de l’adresse. Vous devez lire « La connexion est sécurisée ». Le détail du certificat indique aussi sa date d’expiration.
- Visitez plusieurs pages, surtout celle du formulaire. Une page peut être en https mais charger une image ou un script en http : on parle de « contenu mixte », et le navigateur peut retirer son indicateur de sécurité sur cette page.
- Regardez ce que Google affiche. Cherchez
site:votresite.fr: les adresses qui apparaissent dans les résultats devraient commencer par https.
Votre site affiche « Non sécurisé » : que faire ?
- Activez le certificat chez votre hébergeur. Demandez à votre hébergeur comment activer un certificat. Il existe des certificats gratuits, comme ceux de Let’s Encrypt, une autorité de certification gratuite et automatisée. Vérifiez aussi que le renouvellement est automatique.
- Forcez le passage en https. Une fois le certificat actif, l’hébergeur ou le site doit rediriger toutes les adresses http vers https (redirection dite « 301 »). Sur WordPress, vérifiez aussi que les deux adresses dans Réglages > Général commencent par https.
- Corrigez les liens et images en http. S’il reste du contenu mixte, il faut remplacer les anciennes adresses dans les pages. Une extension ou votre prestataire peut s’en charger.
- Contrôlez la date d’expiration. Avec un certificat expiré, le navigateur peut afficher une alerte sur toute la page (« Votre connexion n’est pas privée »). Même si le renouvellement est automatique, vérifiez de temps en temps qu’il fonctionne.
- Prévenez Google. Si vous utilisez la Search Console, vérifiez que la version https de votre site est bien suivie.
En cas de doute, posez simplement la question à votre hébergeur ou à la personne qui a créé votre site : c’est une demande simple à formuler.
À retenir
Le cadenas, c’est le minimum attendu d’un site professionnel aujourd’hui, pas un bonus. Il rassure vos visiteurs au moment où ils hésitent à vous écrire, il protège les informations qu’ils vous confient, et il s’active sans refaire le site.
Vous débutez avec votre site ? Notre page S’instruire explique simplement le nom de domaine, l’hébergement et les mots à connaître. Et si vous voulez qu’on regarde votre site avec vous, écrivez-nous.
Sources
Sources officielles consultées et vérifiées le 24 octobre 2026.
- Chromium Blog — A secure web is here to stay (Chrome 68, juillet 2018)
- Chromium Blog — An Update on the Lock Icon (mai 2023, Chrome 117)
- Google Search Central Blog — HTTPS as a ranking signal (7 août 2014)
- CNIL — Sécurité : sécuriser les sites web
- Let’s Encrypt — « autorité de certification gratuite, automatisée et ouverte »
- MDN Web Docs — Contenu mixte
- Aide Google Chrome — Messages d’erreur courants (« Votre connexion n’est pas privée »)
- Aide Search Console — Problèmes de certificat SSL