---
title: "Ton site affiche « Non sécurisé » : ce que ça veut dire et comment le corriger"
description: "Le navigateur prévient que ton site n'est pas sécurisé et tu perds des clients avant qu'ils aient lu. Ce que veut dire cet avis et comment il disparaît."
date: "2026-10-24"
category: "Sécurité web"
keywords: "site non sécurisé, certificat SSL, certificat expiré, site sans https, corriger avertissement de sécurité"
portada: "/portadas/portada-web-dice-no-es-seguro-certificado-ssl.webp"
---

Ton site fonctionne. Tu ouvres le lien, il est beau, les photos se chargent. Mais dans la barre du navigateur, devant ton adresse, il y a un avertissement qui dit « Non sécurisé ». Et toi, qui n'es pas informaticien, tu penses : « bon, ça doit être un truc du navigateur ». Non. C'est l'une des rares choses d'un site qu'on peut réparer en un après-midi et qui, tant qu'elle est cassée, te coûte des clients tous les jours.

Cet article porte sur ce que veut dire exactement ce message, pourquoi il apparaît et ce qu'il faut faire pour le faire disparaître. Sans jargon inutile.

## Ce qu'est le cadenas et ce que ça veut dire quand il n'est pas là

Quand tu entres sur un site et que tu vois un petit cadenas devant l'adresse, cela veut dire que la connexion entre le navigateur du client et le serveur où vit ton site est chiffrée. Ce chiffrement est fourni par un certificat SSL (aujourd'hui on dit TLS, mais tout le monde continue à dire SSL).

Pense à une lettre normale et à une lettre avec un sceau et une signature : les deux arrivent, mais personne ne peut ouvrir la seconde en route ni changer ce qu'elle dit. Le cadenas, c'est ça. Ton client écrit son nom et son numéro de téléphone dans un formulaire, ou paie une réservation, et sans cadenas ces données voyagent à la vue de quiconque sait où regarder.

Sans cadenas, il n'y a pas de chiffrement. Et sans chiffrement, des navigateurs comme Chrome, Edge ou Safari ne se contentent pas de cacher le cadenas : ils affichent un avertissement. Dans certains cas, avant même de te laisser entrer.

## Les quatre avertissements que tu peux voir (et ce que chacun veut dire)

Tous les messages ne sont pas le même problème, et la solution change selon lequel c'est :

- **« Non sécurisé » avec un triangle ou un cercle avec un i.** Le site tourne en `http://` au lieu de `https://`, ou il n'a pas de certificat. C'est le cas le plus fréquent sur les sites anciens.
- **« Votre connexion n'est pas privée » avec le code `NET::ERR_CERT_DATE_INVALID`.** Le certificat existe mais il a expiré. Quelqu'un l'a installé et personne ne l'a renouvelé.
- **`NET::ERR_CERT_COMMON_NAME_INVALID`.** Le certificat est valide, mais il a été émis pour un autre domaine. Typique quand tu as changé de nom de domaine, ou quand l'hébergement réutilise le certificat d'un autre site.
- **« Non sécurisé » qui n'apparaît que sur certaines pages.** C'est souvent du contenu mixte : la page tourne en `https` mais une image, une vidéo ou un script se chargent en `http`.

Les deux premiers sont ceux qu'on voit le plus dans les petites entreprises, et les deux se réparent vite.

## Pourquoi ça arrive : les causes habituelles

Ce n'est presque jamais « un virus ». C'est presque toujours de la maintenance :

1. **Le certificat a expiré.** Les certificats gratuits durent 90 jours et se renouvellent tout seuls si quelqu'un l'a bien configuré. Sinon, ils expirent un mardi quelconque et personne ne s'en aperçoit jusqu'à ce qu'un client appelle en disant que le site donne une erreur.
2. **Tu as changé d'hébergement ou de serveur** et le certificat n'a pas été réinstallé sur le nouveau.
3. **Tu as changé de domaine** (par exemple, de `monentreprise.fr` à `monentreprise.com`) et aucun certificat n'a été émis pour le nouveau.
4. **Le site est une copie** d'un autre, ou il a été migré à moitié, et des liens internes sont restés en `http`.
5. **Le certificat a été mis par un prestataire** qui ne le renouvelle plus parce que tu as changé de formule.

## Ce que ça te coûte de le laisser comme ça

Trois coûts, et aucun n'est théorique :

- **Tu perds le clic.** Quand quelqu'un voit un avertissement de sécurité avant d'entrer, la plupart ferment. Ce n'est pas qu'il se méfie un peu : il s'en va. Et le résultat Google suivant est à un doigt.
- **Tu perds des positions.** Google a confirmé en 2014 que le HTTPS est un signal de classement. C'est un signal petit face au contenu, mais il s'ajoute à tout le reste et va dans la même direction que l'expérience utilisateur.
- **Tu perds la tranquillité juridique.** Si ton formulaire de contact ou ta boutique collectent des données personnelles sans chiffrement, il est difficile de justifier devant le RGPD que tu as mis en place des « mesures de sécurité appropriées ». Et si en plus tu encaisses, ça devient sérieux.

Il y a un quatrième coût, le pire : tu t'y habitues. Le site a l'avertissement depuis des mois, tu ne le vois plus parce que tu entres par le panneau d'administration, et chaque semaine il y a moins de monde.

## Comment le vérifier en une minute

Tu n'as pas besoin d'outils bizarres :

1. Ouvre ton site **sur le téléphone, en données mobiles et sans wifi**, et regarde la barre d'adresse. Si tu ne vois pas de cadenas, le problème est là.
2. Va sur la page de contact et dans le formulaire. C'est là que l'avertissement devient le plus visible.
3. Si tu veux le détail technique, `ssllabs.com/ssltest` analyse ton domaine gratuitement et te dit si le certificat est valide, à qui il appartient et quand il expire.
4. Sur l'ordinateur, appuie sur F12 sur la page et regarde l'onglet console : si des lignes avec `Mixed Content` apparaissent, tu as du contenu mixte.

## Comment on le répare, selon le cas

- **Il n'y a pas de certificat :** on en installe un. Aujourd'hui il existe Let's Encrypt, qui est gratuit et se renouvelle automatiquement, et des plateformes comme Vercel ou Netlify le mettent tout seuls quand tu connectes le domaine. Si ton hébergement te facture 80 ou 100 € par an pour « le certificat », le problème n'est pas le prix : c'est que personne ne s'occupe de le garder en vie.
- **Il a expiré :** on le renouvelle et, surtout, on active le renouvellement automatique pour que ça n'arrive plus. Si ton certificat expire chaque année, note la date dans le calendrier.
- **Il est pour un autre domaine :** on en émet un nouveau pour le bon domaine et on redirige l'ancien avec une redirection 301, pour ne pas perdre ce qui était déjà positionné.
- **Contenu mixte :** on change les chemins `http://` en `https://` dans les images et les scripts, et on force la redirection de tout le site vers `https` avec HSTS, pour que le navigateur ne retente pas la porte sans cadenas.

En temps réel, entre dix minutes et un après-midi. Pas besoin de refaire le site. Et si on te dit qu'il faut le refaire « parce que le certificat ne peut pas être installé », change de prestataire avant de changer de site.

## Comment éviter que ça recommence

Le cadenas, ce n'est pas quelque chose qu'on met une fois et qu'on oublie. Trois habitudes suffisent :

- **Renouvellement automatique**, pas manuel. Si quelqu'un dans ton entreprise doit y penser, un jour il oubliera.
- **Une alerte** quinze jours avant l'expiration, dans la boîte mail de celui qui gère le site.
- **Vérifier le cadenas** chaque fois que tu changes d'hébergement, de domaine ou de personne qui s'occupe du site. Ce sont les trois moments où ça casse.

Et si ton site est lent ou si tu ne sais pas s'il fait son travail, ce sont les deux autres fronts : la vitesse et les signaux que quelque chose ne fonctionne pas peuvent se mesurer. Tu peux commencer par [pourquoi la vitesse de ton site compte](/blog/fr/por-que-la-velocidad-de-tu-web-importa) et par [comment savoir si ton site fonctionne](/blog/fr/como-saber-si-mi-web-funciona).

## Si tu ne veux pas te battre avec ça

Le plus normal, c'est qu'un client voie l'avertissement avant toi. Et quand tu le vois, tu perds déjà des visites depuis des semaines.

Si ton site a des années, qu'il a été fait par quelqu'un qui n'est plus là et que tu ne sais même pas où il est hébergé, le plus rapide est que quelqu'un y jette un œil : certificat, vitesse, formulaires, et ce qui se passe quand on entre depuis le téléphone. C'est ce que nous faisons avant de proposer quoi que ce soit. Si tu veux, [demande un audit gratuit de ton site](/solicita-web/fr) et nous te dirons ce qui ne va pas et ce qui va, sans engagement et sans essayer de te vendre un nouveau site si tu n'en as pas besoin.