Imaginons une cliente, sur une place de Venelles, qui cherche un traiteur pour un anniversaire. Elle tape votre nom, clique sur votre site… et voit « Non sécurisé » à côté de l’adresse. Ou pire : une page entière qui lui dit que la connexion « n’est pas privée ». Elle ne va pas chercher à comprendre. Elle revient en arrière et appelle le traiteur suivant.

Dans cet article, vous allez voir exactement ce que vos visiteurs voient, pourquoi ce message apparaît, comment le vérifier en 2 minutes et qui doit corriger.

Ce que vos clients voient vraiment

Selon la situation, le navigateur n’affiche pas la même chose. Et ce n’est jamais vous qui choisissez.

• Le site n’est pas en HTTPS : Chrome affiche « Non sécurisé » dans la barre d’adresse. Sur une page avec un formulaire, l’alerte devient plus visible au moment de taper ses coordonnées.
• Le certificat a expiré : c’est le cas le plus brutal. Au lieu de votre page d’accueil, le visiteur tombe sur un écran d’alerte du type « Votre connexion n’est pas privée », avec un bouton pour repartir. Seuls les plus curieux cliquent sur « Paramètres avancés » pour passer outre.
• Le certificat ne correspond pas à l’adresse : par exemple il couvre www.votresite.fr mais pas votresite.fr. Même écran d’alerte, pour une partie seulement de vos visiteurs. Le genre de panne qu’on met des semaines à remarquer.
• Du contenu mixte : la page est en HTTPS, mais une image, un script ou une police est encore appelé en HTTP. Le navigateur peut bloquer l’élément, retirer le cadenas ou casser un bout de mise en page.

Et le mouvement va dans un seul sens. Google a annoncé qu’avec Chrome 154, prévu pour octobre 2026, l’option « Toujours utiliser des connexions sécurisées » serait activée par défaut : le navigateur tente le HTTPS et prévient l’internaute avant d’ouvrir un site public qui ne le propose pas.

Pourquoi ça coûte plus cher qu’on ne le pense

Un message d’alerte ne fait pas de bruit. Personne ne vous appelle pour vous dire « votre site m’a fait peur ». Les visiteurs partent, simplement.

Il y a d’abord la confiance. Un artisan, un commerçant ou une association vit de sa réputation locale. Une alerte de sécurité sur le site, c’est un doute planté au pire moment : juste avant la prise de contact ou la commande.

Il y a ensuite Google. Le HTTPS fait partie des signaux pris en compte par le moteur de recherche depuis 2014. Ce n’est pas le critère qui fera tout basculer, mais un site qui renvoie une erreur de certificat, lui, n’offre plus rien d’exploitable : ni au robot, ni au visiteur.

Enfin, il y a les formulaires et les paiements. Sur une boutique WooCommerce ou un formulaire de devis, une page non chiffrée transmet les informations en clair. C’est précisément ce que l’alerte cherche à signaler.

Pourquoi un site qui marchait hier affiche une alerte aujourd’hui

Un certificat SSL (on dit aussi TLS) a une date de fin. Et ces durées raccourcissent. Les navigateurs et les autorités de certification se sont mis d’accord sur un calendrier : depuis le 15 mars 2026, un certificat ne peut plus dépasser 200 jours. Ce sera 100 jours à partir de mars 2027, puis 47 jours en 2029.

Concrètement, renouveler son certificat « à la main une fois par an » n’est plus tenable. Le renouvellement doit être automatique. Chez la plupart des hébergeurs, c’est le cas avec Let’s Encrypt, dont les certificats durent 90 jours. Mais l’automatisme peut échouer sans prévenir :

• le nom de domaine pointe vers un autre serveur après un changement de DNS ;
• un sous-domaine (boutique., www.) a été ajouté sans être inclus dans le certificat ;
• une redirection ou un pare-feu bloque la vérification ;
• l’offre d’hébergement a changé et l’option SSL n’a pas suivi.

Autre détail qui compte : Let’s Encrypt a arrêté en 2025 d’envoyer des e-mails de rappel avant expiration. Si personne ne surveille, le premier à s’en apercevoir sera… un client.

Le test des 2 minutes

Pas besoin d’être technicien. Prenez votre téléphone et votre ordinateur, et faites ceci :

• Tapez votre adresse sans « https », juste votresite.fr. Vous devez arriver automatiquement sur la version https://.
• Testez avec et sans « www ». Les deux doivent mener au même site, sans alerte.
• Cliquez sur l’icône à gauche de l’adresse, puis sur les détails de la connexion. Vous verrez si elle est sécurisée et, en allant plus loin, la date d’expiration du certificat.
• Ouvrez trois pages clés : l’accueil, la page contact, et le panier ou le formulaire de devis. Aucune ne doit afficher d’alerte.
• Notez la date d’expiration quelque part. Si elle est à moins de 3 semaines et que rien n’a bougé depuis des mois, posez la question à votre hébergeur.

Si tout est vert, tant mieux. Gardez ce réflexe une fois par mois, par exemple en même temps que vos mises à jour WordPress.

Qui doit corriger ? (et ce qu’il faut demander)

C’est souvent là que tout se bloque : chacun pense que c’est le travail de l’autre.

• Certificat absent ou expiré : c’est en général l’hébergeur, ou la personne qui gère l’hébergement. Demandez : « Le certificat est-il renouvelé automatiquement, pour toutes les variantes de l’adresse ? »
• Redirection HTTP vers HTTPS manquante : réglage serveur ou WordPress. Demandez que toutes les adresses aboutissent à une seule version en https://.
• Contenu mixte : c’est côté site. Des images ou des liens anciens sont encore enregistrés en http:// dans la base WordPress, dans le thème ou dans une extension. Une recherche-remplacement propre, après sauvegarde, règle généralement le problème.
• Personne ne sait qui gère quoi : c’est le vrai signal d’alerte. Il faut retrouver qui a les accès à l’hébergement et au nom de domaine, avant la prochaine panne.

Pour aller plus loin sur les bases, nous avions détaillé pourquoi le passage au HTTPS est essentiel.

Ce qu’il faut retenir

Le message « Non sécurisé » ne dit pas que votre site a été piraté. Il dit que la connexion n’est pas protégée, ou que la preuve de cette protection a expiré. Pour vos visiteurs, la nuance n’existe pas : ils voient une alerte et ils partent.

La bonne nouvelle, c’est que c’est l’un des problèmes les plus simples à prévenir : un renouvellement automatique qui fonctionne, une redirection propre, et une vérification mensuelle. Et avec des certificats de plus en plus courts, la surveillance compte désormais autant que l’installation.

Et vous, quand avez-vous regardé la date d’expiration du certificat de votre site pour la dernière fois ? Dites-le en commentaire.

Un doute après le test des 2 minutes ? L’équipe Digisense, à Venelles près d’Aix-en-Provence, peut vérifier votre site WordPress et vous dire qui doit corriger quoi. Contactez-nous.