Si Chrome affiche « Non sécurisé » à côté de votre adresse, votre site est encore servi en HTTP, sans chiffrement. Depuis Chrome 154, que Google a programmé pour octobre 2026, le navigateur va plus loin : il affiche un écran d'alerte et demande la permission au visiteur avant d'ouvrir un site public en HTTP. Pour une TPE, cela veut dire des visiteurs qui font demi-tour avant même d'avoir vu la page d'accueil. Vous trouverez ici ce qui change exactement, comment vérifier votre site en cinq minutes et comment passer en HTTPS sans perdre votre référencement.
Pourquoi Chrome affiche « site non sécurisé » sur votre site
Chrome affiche « Non sécurisé » quand la page est chargée en HTTP, c'est-à-dire sans certificat SSL/TLS pour chiffrer les échanges entre le navigateur et le serveur.
En HTTP, tout ce qui circule est lisible en clair : le contenu de la page, mais aussi ce que le visiteur tape dans un formulaire de contact ou de devis. Sur un wifi public, quelqu'un de mal intentionné peut lire ces données ou modifier la page en route. Le HTTPS ajoute une couche de chiffrement et garantit au visiteur qu'il parle bien à votre serveur.
Le message apparaît aussi dans deux cas moins évidents. Le premier : le site existe en HTTPS, mais la version HTTP reste accessible sans redirection, et certains liens (anciens annuaires, cartes de visite, signature e-mail) pointent encore vers elle. Le second : la page est en HTTPS mais charge une image ou un script en http://. On parle alors de contenu mixte, et Chrome peut afficher un avertissement ou bloquer l'élément.
La CNIL est claire sur le sujet. Dans sa fiche « Sécuriser les sites web », elle demande de « sécuriser les flux d'échange de données par l'utilisation de TLS » et de rendre TLS obligatoire sur les pages qui affichent ou transmettent des données personnelles. Un formulaire de contact qui recueille un nom, un e-mail et un téléphone entre dans cette catégorie.
Ce qui change avec Chrome 154 en octobre 2026
Avec Chrome 154, Google active par défaut le réglage « Toujours utiliser des connexions sécurisées » pour tous les utilisateurs : avant la première visite d'un site public sans HTTPS, Chrome affiche un avertissement et demande l'accord de l'internaute.
Google l'a annoncé le 28 octobre 2025 sur son blog sécurité, avec un calendrier en deux temps. En avril 2026, Chrome 147 a d'abord activé ce mode pour plus d'un milliard d'utilisateurs qui avaient choisi la protection renforcée de la navigation sécurisée. Chrome 154 l'étend à tout le monde en octobre 2026. L'équipe sécurité de Chrome justifie le changement ainsi (traduit de l'anglais) : « ces attaques n'ont rien d'hypothétique, les logiciels qui permettent de détourner une navigation sont faciles à trouver ».
Qui verra l'alerte, et quand
L'alerte vise les nouveaux visiteurs, et c'est ce qui la rend coûteuse pour une entreprise. Chrome ne la répète pas sur les sites HTTP qu'un internaute visite régulièrement. Vos clients fidèles la verront donc peu. Le prospect qui vous découvre depuis Google Maps, une annonce ou un lien partagé, lui, tombera dessus à sa première visite. D'après les tests menés par Google sur Chrome 141, l'utilisateur médian voit moins d'un avertissement par semaine : le message reste rare, donc il frappe les esprits quand il apparaît.
Les sites concernés
Seuls les sites publics sont visés. Les adresses IP locales et les noms d'hôte d'intranet en sont exclus. Concrètement, tout site vitrine, boutique ou blog accessible sur Internet et encore en HTTP est concerné. L'internaute peut cliquer pour passer outre, mais combien prendront ce risque pour un plombier ou un restaurant qu'ils ne connaissent pas encore ?
Google rappelle que le HTTPS représente déjà 95 à 99 % des navigations dans Chrome. Les sites restés en HTTP sont minoritaires, ce qui les rend d'autant plus visibles. Chez Webance, on les retrouve surtout parmi les sites créés il y a dix ans ou plus, jamais refaits, souvent hébergés sur une ancienne offre que personne ne regarde plus.
Comment savoir si votre site est concerné
Pour savoir si votre site est concerné, tapez son adresse en commençant par http:// dans Chrome et regardez si vous êtes redirigé automatiquement vers https:// avec un cadenas ou l'icône de réglages à gauche de l'URL.
Ce test prend cinq minutes. Faites-le en navigation privée pour éviter le cache, puis vérifiez ces points dans l'ordre :
- La page d'accueil en http:// redirige vers https:// (l'adresse change dans la barre).
- La version avec et sans www arrive au même endroit, en HTTPS.
- Une page intérieure (contact, une prestation) se comporte de la même façon.
- Aucun message « Non sécurisé » n'apparaît sur la page du formulaire.
- Le certificat est valide : un clic sur l'icône à gauche de l'URL affiche « La connexion est sécurisée ».
Google propose aussi de faire le test à l'avance : activez « Toujours utiliser des connexions sécurisées » dans les paramètres de confidentialité et de sécurité de Chrome, puis parcourez votre site. Vous verrez exactement ce que verront vos visiteurs. Dans la Google Search Console, le rapport HTTPS indique combien de vos pages Google indexe encore en HTTP. Si vous ne l'avez jamais ouvert, notre guide pratique de la Search Console montre où le trouver.
Comment passer son site en HTTPS en 6 étapes
Passer son site en HTTPS consiste à installer un certificat SSL sur l'hébergement, puis à rediriger définitivement toutes les adresses HTTP vers leur version HTTPS.
Sur un site WordPress classique, comptez une demi-journée si tout se passe bien. Voici l'ordre que nous suivons :
1. Activer le certificat SSL
La plupart des hébergeurs français (OVHcloud, o2switch, Hostinger, Ionos) fournissent un certificat Let's Encrypt gratuit, à activer depuis l'espace client. Un certificat payant n'apporte rien de plus pour le chiffrement d'un site vitrine.
2. Sauvegarder le site
Fichiers et base de données : une migration touche à toutes les URL du site.
3. Changer l'adresse dans le CMS
Dans WordPress, Réglages puis Général : l'adresse du site et l'adresse WordPress passent en https://.
4. Rediriger en 301
Chaque URL en HTTP doit renvoyer vers la même URL en HTTPS, avec une redirection permanente (301), page par page et pas toutes vers l'accueil. Sur un hébergement Apache, cela se règle dans le fichier .htaccess. Évitez les chaînes de redirections (http vers http://www puis vers https) qui ralentissent le chargement.
5. Corriger le contenu mixte
Remplacez les liens internes, images et scripts encore en http:// dans la base de données. Un outil de recherche-remplacement (Better Search Replace, ou WP-CLI pour les plus à l'aise) fait le travail en quelques minutes.
6. Prévenir Google et vos outils
Ajoutez la propriété HTTPS dans la Search Console si vous utilisiez une propriété « préfixe d'URL », soumettez le nouveau sitemap, puis mettez à jour l'adresse dans Google Analytics, votre fiche Google Business Profile, vos campagnes Google Ads et vos réseaux sociaux.
Sur Webflow, Shopify ou Wix, le certificat est fourni et activé d'office pour les sites hébergés chez eux. Il reste à vérifier que l'option de redirection forcée vers HTTPS est cochée (dans Webflow, l'option « Enable SSL » des réglages de publication) et que votre nom de domaine pointe correctement. C'est d'ailleurs un des arguments qui comptent quand on hésite entre les deux plateformes, comme on l'explique dans notre comparatif Webflow ou WordPress.
Notre avis : si votre site est encore en HTTP en 2026, le certificat est rarement le seul problème. Un site qui n'a pas été touché depuis aussi longtemps tourne souvent sur une version de PHP obsolète, une extension abandonnée ou un thème qui ne s'affiche pas bien sur mobile. Dans ce cas, une refonte de site internet coûte parfois moins cher, sur deux ou trois ans, qu'une série de rustines.
Site en HTTP, HTTPS mal configuré ou HTTPS complet : le comparatif
Un site peut se trouver dans cinq situations vis-à-vis du HTTPS, et seule la dernière évite toute alerte dans Chrome.
| Situation | Ce que voit le visiteur | Risque | Correction |
|---|---|---|---|
| Site 100 % HTTP | Écran d'alerte avant la page | Élevé : perte de prospects | Certificat + redirections 301 |
| HTTPS sans redirection | Alerte si on arrive par un vieux lien http:// | Moyen | Redirection 301 forcée |
| HTTPS avec contenu mixte | Avertissement, éléments bloqués | Moyen : images ou formulaire cassés | Remplacer les liens http:// |
| Certificat expiré | Page d'erreur plein écran | Très élevé : site inaccessible | Renouvellement automatique |
| HTTPS complet | Aucune alerte | Aucun | Surveiller l'expiration |
Le certificat expiré est le cas le plus brutal : Chrome affiche une page d'erreur rouge que la plupart des gens ne franchissent pas. Nous le voyons régulièrement sur des sites dont le certificat avait été installé à la main par un ancien prestataire, sans renouvellement automatique.
Certificats SSL : des durées raccourcies dès 2026
La durée de validité maximale des certificats SSL/TLS diminue par étapes : 200 jours depuis le 15 mars 2026, 100 jours à partir du 15 mars 2027 et 47 jours à partir du 15 mars 2029.
Ce calendrier a été voté à l'unanimité par le CA/Browser Forum, l'organisme qui réunit les autorités de certification et les éditeurs de navigateurs (détails sur IT-Connect). Jusqu'ici, un certificat payant pouvait durer 398 jours. On le renouvelait une fois par an, souvent en recevant un e-mail de rappel. Avec 47 jours, ce n'est plus gérable à la main.
Pour une petite entreprise, la consigne est simple : vérifiez que votre certificat se renouvelle tout seul. Les certificats Let's Encrypt fournis par les hébergeurs et ceux des plateformes comme Webflow ou Shopify le font déjà. Si vous avez acheté un certificat à part, chez un revendeur, posez la question à votre prestataire avant la prochaine échéance.
HTTPS et référencement Google : ce que ça change vraiment
Le HTTPS est un signal de classement pour Google depuis 2014, mais un signal léger : il ne fera pas monter un site faible, alors qu'un site en HTTP perd des visiteurs avant même qu'ils lisent la page.
Google l'a annoncé en août 2014 sur Google Search Central, en précisant que l'effet portait alors sur moins de 1 % des requêtes. En 2026, le HTTP coûte surtout des visiteurs : l'écran d'alerte fait fuir une partie des nouveaux venus. Un formulaire de devis signalé comme non sécurisé convertit moins. Une annonce Google Ads qui mène vers une page bloquée par une alerte, c'est du budget payé pour rien.
La migration elle-même comporte un risque si elle est mal faite. Sans redirections 301 page par page, Google voit deux versions du site et peut perdre la trace de vos pages bien classées. D'autres erreurs techniques qui freinent un site sont détaillées dans notre article sur les 7 erreurs qui plombent la visibilité sur Google. Bien faite, une migration HTTPS ne fait rien perdre : quelques jours de fluctuation dans la Search Console, puis retour à la normale.
Profitez de l'occasion pour regarder le reste. Une redirection en chaîne ou un hébergement d'entrée de gamme pèse aussi sur la vitesse de chargement, un autre critère que Google et vos visiteurs remarquent. Si vous êtes à Toulouse et préférez confier la migration, on peut regarder votre site avec vous et vous dire s'il faut un simple certificat ou une refonte.
.png){kind=icon}
.png){kind=icon}
