Chrome avertit les visiteurs de mon site : ce qui se passe et quoi faire

Un client vous l’a signalé, ou vous l’avez appris par hasard : Chrome demande à certains visiteurs de confirmer avant d’ouvrir votre site quand son adresse commence par http:// et non par https://. Le « s » de https, c’est la connexion chiffrée entre le visiteur et le site. Ce guide s’adresse à vous, le propriétaire, et non au visiteur qui hésite devant la page.

1Ce que Chrome fait depuis la version 154

Chrome demande désormais à l’utilisateur de confirmer avant d’ouvrir un site en http. Les notes de la version 154, sortie le 22 septembre 2026, le décrivent comme un réglage actif par défaut.

Source : Chrome for Developers, « Chrome 154 | Release notes » (notes du 22 septembre 2026, lues le 10 octobre 2026).

Les versions de Chrome concernées et leurs dates

1. Chrome 154

   22 septembre 2026

   Sur ordinateur

2. Chrome 155

   6 octobre 2026

   Version stable depuis ce jour. Sur Android, la fiche de suivi de Chrome prévoit l’activation, que nous n’avons pas pu confirmer.

Le titre de l’avertissement, dans l’aide de Chrome pour ordinateur, est « Your connection to this site is not secure », soit, en français, « votre connexion à ce site n’est pas sécurisée ». Le reste de la page est le texte de Chrome : nous ne le reproduisons pas.

Source : Aide Google Chrome, « Check if a site’s connection is secure » (page sans date, lue le 10 octobre 2026).

Le billet de Google qui annonçait ce changement en précise trois traits :

• Seuls les sites publics sont visés. Les adresses locales (comme 192.168.0.1) et les noms privés (comme « intranet/ ») ne le sont pas.
• La demande dépend du visiteur. Chrome demande la permission avant le premier accès à un site public sans https ; il ne prévient pas de nouveau le visiteur d’un site qu’il ouvre régulièrement.
• Le visiteur garde la main. Il peut passer outre l’avertissement, ou désactiver le réglage.

Source : Google Security Blog (équipe Chrome Security), « HTTPS by default » (billet du 28 octobre 2025, lu le 10 octobre 2026).

2Quels sites sont concernés ?

Tout site public en http, pour un visiteur qui ne l’a pas ouvert récemment. Ce n’est pas une question de notoriété : un site très connu, resté en http, prévient aussi le visiteur qui ne l’a pas ouvert récemment.

Source : Google Security Blog (équipe Chrome Security), « HTTPS by default » (billet du 28 octobre 2025, lu le 10 octobre 2026).

Combien de temps dure « récemment » ? Nous n’avons pas de durée à vous donner.

3Ce que l’avertissement ne dit pas

Il ne dit rien du contenu de votre site : « non sécurisé » qualifie la connexion, pas vos pages. Dans l’autre sens, l’https n’est pas un label de sécurité. D’après l’aide de Chrome, le symbole à gauche de l’adresse indique si la connexion est privée ; l’aide ajoute de rester prudent avec ses informations personnelles.

Source : Aide Google Chrome, « Check if a site’s connection is secure » (page sans date, lue le 10 octobre 2026).

Enfin, ce n’est pas un verdict sur votre référencement. Google ne compte pas https parmi les aspects de l’expérience de page qui aident directement à mieux se classer : la raison de passer en https est l’avertissement de Chrome, pas votre position. Nous ne promettons aucun effet sur elle.

Source : Google Search Central, « Understanding page experience in Google Search results » (mise à jour le 22 septembre 2026, lue le 10 octobre 2026).

4Le vérifier vous-même

Il faut donc regarder autrement, avec quatre vérifications qui ne demandent que Chrome.

1. Faites-le essayer. Demandez à quelqu’un qui n’est jamais venu sur votre site, ou pas depuis longtemps, de taper votre adresse dans Chrome sur ordinateur (version 154 ou suivante) et de vous dire ce qu’il voit avant la page.
2. Tapez votre adresse en https:// : la page doit s’ouvrir, sans que le navigateur s’en plaigne avant elle. Sinon, c’est le certificat, ou sa mise en place, qu’il faut revoir.
3. Tapez-la en http://, sans le « s » : vous devez arriver sur la même page, en https. Cliquez dans la barre d’adresse pour lire l’adresse en entier.
4. Parcourez trois ou quatre pages en https. Un logo, une image ou une mise en forme qui manquent peuvent être le signe d’un contenu mixte, expliqué plus bas.

5Que faire si votre site n’est pas en https ?

Trois choses à mettre en règle, dans cet ordre : le certificat, la redirection, le contenu mixte. Demandez-les à la personne qui gère votre site ou son hébergement.

Le certificat

Le certificat est ce qui permet à votre site de s’ouvrir en https : Chrome s’en sert pour authentifier le site et chiffrer la connexion. D’après l’aide de Chrome, c’est au propriétaire du site de passer en https.

Source : Aide Google Chrome, « Check if a site’s connection is secure » (page sans date, lue le 10 octobre 2026).

Posez cette question, telle quelle : « Chaque page de mon site s’ouvre-t-elle en https, avec un certificat en règle ? »

Sous WordPress, le logiciel lui-même recommande aujourd’hui un accès https.

Source : WordPress.org, « Requirements » (page sans date, lue le 10 octobre 2026).

La redirection

Une fois l’https en place, l’ancienne adresse en http doit continuer de mener quelque part : chaque adresse en http renvoie, par une redirection permanente (301 ou 308), vers la même page en https. Le visiteur venu d’un ancien lien, d’un favori ou d’un e-mail arrive au bon endroit, pas sur l’accueil ni sur une erreur.

Source : Google Search Central, « Migrer un site » (mise à jour le 11 septembre 2026).

Construire ses redirections, adresse par adresse

Le contenu mixte

Une page en https peut encore appeler une image ou un fichier en http : c’est le contenu mixte. D’après web.dev, dans une page qui date de 2019 (à lire avec cette réserve), Chrome bloque en général les ressources actives, comme les programmes et les feuilles de style, charge dans certains cas la version https d’une image, et ne la charge pas si elle n’existe pas. Ce qui se voit : un logo, une image ou une mise en forme qui manquent. Le remède : écrire ces adresses en https, dans les pages comme dans le code du site.

Source : web.dev, « What is mixed content? » (mise à jour le 7 septembre 2019, lue le 10 octobre 2026).

Quand ce n’est pas un problème

Si votre site s’ouvre en https, et que l’http y mène, Chrome n’a rien à vous demander à ce sujet. Il ne demande confirmation que pour un site public en http.

• Une adresse locale ou un nom privé n’est pas concerné.
• Un visiteur qui vient régulièrement, ou qui a désactivé le réglage, ne voit pas l’avertissement. L’absence d’avertissement chez un visiteur ne prouve donc pas que votre site est en https.

S’il n’est qu’un signe parmi d’autres : quand faut-il refaire son site ?

Questions rapides

Le visiteur peut-il quand même entrer ?

Oui : il peut passer outre l’avertissement, ou désactiver le réglage.

Mon site est-il piraté ?

L’avertissement n’en dit rien : son titre parle de la connexion, pas du contenu du site.

Et les autres navigateurs ?

Cette page ne parle que de Chrome. Nous n’avons pas relu les règles des autres navigateurs.