Menu

Notre travail

Services Conception de sites web Gestion Google Ads Marketing pour boutique en ligne Réparation WordPress SEO – Référencement organique Structuration et IA

Ressources

Par où commencer Études de cas Guides pratiques

Contact

Coordonnées Urgence : 514 588-0837

Guide · Sécurité · Problème n° 5

Mon site n'est pas sécurisé. Le cadenas, SSL et Cloudflare, en clair.

Un client vous écrit que « votre site n'est pas sécurisé ». Vous ouvrez Chrome et c'est écrit en toutes lettres à gauche de l'adresse. Ce n'est pas un piratage et ce n'est presque jamais grave, mais ça fait fuir. Le visiteur lit « pas sécurisé », pense « pas sérieux » et appelle le suivant. Ce guide dit ce que le cadenas veut vraiment dire, pourquoi il disparaît et ce qui se règle en dix minutes dans le panneau de votre hébergeur.

Lecture
Huit minutes, c'est le plus court de la série
Pour qui
Propriétaires de PME dont le site affiche « Non sécurisé », un cadenas barré ou une page d'erreur de certificat
Il vous faut
L'accès au panneau de l'hébergeur (cPanel, Site Tools, Plesk) ou à votre compte Cloudflare
Les quatre messages qu'on voit Le régler soi-même
Louis-Philippe Dea

Écrit par Louis-Philippe Dea, fondateur d'Effet Cumulatif, Prévost

18 ans de sites web, 275 sites WordPress conçus ou réparés depuis 2008. Publié le 14 octobre 2026. Mis à jour le 14 octobre 2026.

L'essentiel en une minute

  1. Le cadenas veut dire une seule chose. Ce qui circule entre le visiteur et votre site est chiffré (le « https »). Il ne dit pas que le site est propre, à jour ou honnête. Il dit que personne ne lit par-dessus l'épaule.
  2. Depuis 2018, Chrome marque « Non sécurisé » tout site sans https et Google tient compte du https dans son classement depuis 2015. Ce n'est plus une option.
  3. Le certificat est gratuit. Let's Encrypt en émet des centaines de millions, tous les hébergeurs sérieux l'installent en un clic et le renouvellent seuls. Payer 100 $ par année pour un certificat de base, en 2026, c'est payer pour rien.
  4. Quatre messages expliquent presque tous les cas. « Non sécurisé » (pas de certificat ou site encore en http), cadenas barré (du contenu mixte, une image en http sur une page https), « Votre connexion n'est pas privée » (certificat expiré ou pour un autre nom) et les erreurs 52x de Cloudflare (le serveur derrière Cloudflare qui ne suit pas).
  5. Dix minutes chez l'hébergeur règlent les trois premiers. Le quatrième demande de comprendre ce que Cloudflare fait entre votre visiteur et votre serveur. On l'a vécu sur notre propre site en septembre 2026.

Ce que le cadenas veut dire et ce qu'il ne veut pas dire.

Quand un visiteur ouvre votre site, son navigateur et votre serveur s'échangent des données, la page, les photos, ce qu'il tape dans votre formulaire. Sans chiffrement (http), ces données passent en clair par tous les équipements entre les deux, le wifi du café, le routeur du fournisseur et n'importe qui sur le chemin peut les lire ou les modifier. Avec chiffrement (https), elles sont illisibles en route. Le certificat SSL ou TLS pour être exact, est le document qui permet ce chiffrement et qui atteste que le serveur est bien celui de votre domaine.

C'est tout. Le cadenas ne dit pas que le site est à jour, qu'il n'est pas piraté ni que l'entreprise derrière est fiable. Un site de fraude peut avoir un cadenas et un site honnête peut ne pas en avoir. Mais le visiteur, lui, ne fait pas la différence. Pour lui, « Non sécurisé » veut dire « n'entre pas ta carte, n'écris pas ton numéro ». CIRA, le registre des .ca, a mesuré sur quatre réseaux d'établissements d'enseignement que 27 à 52 % du trafic http restant était bloqué comme hameçonnage ou logiciel malveillant. Le http est devenu, de fait, le quartier mal famé du web.

Trois dates à retenir. En 2015, Google annonce que le https compte dans le classement. En 2018, Chrome affiche « Non sécurisé » sur toute page http. Et aujourd'hui, le certificat est gratuit et automatique chez à peu près tous les hébergeurs, grâce à Let's Encrypt, un organisme sans but lucratif qui en émet pour la majorité des sites du monde.

Les quatre messages qu'on voit le plus souvent.

Chacun a une cause différente. Lisez le message exact avant de toucher à quoi que ce soit.

1

« Non sécurisé », en gris, sans page d'erreur.

Le site s'affiche normalement, mais Chrome écrit « Non sécurisé » à gauche de l'adresse, qui commence par http et non https. Soit aucun certificat n'est installé, soit il est installé mais le site n'est pas réglé pour l'utiliser. WordPress continue de servir ses pages en http et personne n'a dit au serveur de rediriger vers https.

Le signe
Tapez votre adresse avec https:// devant. Si le site s'affiche avec un cadenas, le certificat existe et c'est la redirection qui manque. Si une page d'erreur apparaît, c'est le certificat qui manque.
Quoi faire
Chez l'hébergeur, section SSL (ou « Sécurité »), activer Let's Encrypt (gratuit) et l'option « Forcer HTTPS » ou « HTTPS Redirect ». Dans WordPress, sous Réglages › Général, les deux adresses doivent commencer par https://. Dix minutes.
2

Un cadenas barré ou un « i » dans un cercle, sur certaines pages seulement.

C'est ce qu'on appelle le « contenu mixte ». La page est en https, mais elle charge un élément en http, presque toujours une image dont l'adresse a été écrite en toutes lettres avec http:// il y a des années, parfois une police ou un script. Le navigateur chiffre la page mais pas cet élément et retire le cadenas pour le dire. Depuis Chrome 79 (2019), les scripts mixtes sont bloqués d'office; les images, elles, sont chargées en https si possible, sinon bloquées.

Le signe
Le cadenas est là sur l'accueil et absent sur une page de service ou une image manque. Dans Chrome, faites clic droit › Inspecter › onglet Console. Les lignes « Mixed Content » nomment les fichiers en cause.
Quoi faire
Sur WordPress, l'extension Better Search Replace (gratuite) remplace « http://votredomaine.com » par « https://votredomaine.com » dans toute la base de données, après une sauvegarde. Sinon, corriger les adresses une à une dans les pages concernées. Vider le cache après.
3

« Votre connexion n'est pas privée », pleine page, avec un code NET::ERR_CERT_….

Là, le visiteur ne voit même pas votre site, seulement un avertissement rouge. Le certificat existe mais il est invalide. Il peut être expiré (les certificats gratuits durent 90 jours et se renouvellent seuls, sauf quand le renouvellement échoue en silence), émis pour un autre nom (le certificat couvre votredomaine.com mais pas www.votredomaine.com ou l'inverse) ou auto-signé par le serveur.

Le signe
Le code sous le message dit la cause. CERT_DATE_INVALID veut dire expiré, CERT_COMMON_NAME_INVALID mauvais nom et CERT_AUTHORITY_INVALID certificat non reconnu. Cliquez sur « Avancé » pour le lire.
Quoi faire
Chez l'hébergeur, dans la section SSL, renouveler ou réémettre le certificat en cochant le domaine avec et sans www. Si le renouvellement automatique échoue, c'est bien souvent parce que les serveurs de noms du domaine ne pointent plus vers cet hébergeur (voir le cas plus bas) ou qu'un fichier .htaccess bloque la vérification.
4

Une page Cloudflare qui dit « Error 526 Invalid SSL certificate », 525, 521 ou 522.

Si votre site passe par Cloudflare (beaucoup d'agences l'installent pour la vitesse et la protection), il y a deux connexions chiffrées, pas une. La première est entre le visiteur et Cloudflare, la deuxième entre Cloudflare et votre serveur. Le visiteur voit toujours un cadenas, parce que la première connexion est toujours bonne. Les erreurs 52x viennent de la deuxième. Cloudflare n'arrive pas à parler à votre serveur ou le certificat du serveur ne lui convient pas selon le mode SSL choisi dans Cloudflare (Flexible, Full ou Full strict).

Ce qui nous est arrivé le 23 septembre 2026Notre propre site WordPress, chez SiteGround, derrière Cloudflare. Un matin, tout ce que WordPress servait encore répondait « 526 Invalid SSL certificate », autant les photos que le plan du site et toute adresse avec un paramètre de publicité Google. SiteGround ne pouvait plus renouveler le certificat Let's Encrypt parce que les serveurs de noms du domaine étaient chez Cloudflare et Cloudflare, en mode Full strict, refusait le certificat périmé du serveur. Le correctif immédiat a été de passer Cloudflare en mode Full, qui accepte alors le certificat du serveur sans en vérifier l'émetteur. Le correctif propre, à faire ensuite, est d'installer sur le serveur un certificat d'origine Cloudflare, valable 15 ans, puis de revenir en strict. Le mode Flexible, lui, est un faux cadenas, parce que Cloudflare chiffre jusqu'à lui et parle en clair à votre serveur. À éviter.

Le signe
La page d'erreur porte le logo Cloudflare et un numéro à trois chiffres commençant par 52. Le site peut fonctionner en partie (les pages) et pas en entier (les images).
Quoi faire
Dans Cloudflare › SSL/TLS, vérifier le mode. 526 ou 525 = passer temporairement de Full strict à Full, puis réparer le certificat côté serveur. 521 ou 522 = le serveur lui-même ne répond pas, c'est l'hébergeur qu'on appelle. Après correction, Caching › Purge Everything, sinon Cloudflare peut servir l'erreur en cache encore un moment.

Le régler soi-même, en quatre gestes.

  1. Lire le message exact et le code.

    Les quatre cas ci-dessus ne se règlent pas au même endroit. Une capture d'écran du message, avec le code sous « Avancé », vaut mieux que « ça dit pas sécurisé ».

  2. Chez l'hébergeur, activer le certificat gratuit et forcer le https.

    Chez SiteGround, c'est Site Tools › Sécurité › SSL Manager puis HTTPS Enforce. Dans cPanel, c'est SSL/TLS Status puis « Run AutoSSL » et la redirection dans Domains › Force HTTPS Redirect. PlanetHoster, WHC, Hostinger et les autres ont l'équivalent sous « SSL ». Si l'option n'existe pas ou coûte quelque chose, c'est un signe qu'il est temps de changer d'hébergeur.

  3. Dans WordPress, passer les deux adresses en https et corriger le contenu mixte.

    Sous Réglages › Général, mettre « Adresse web de WordPress » et « Adresse web du site » en https://. Puis Better Search Replace sur « http://votredomaine.com » → « https://votredomaine.com », tables cochées au complet, après une sauvegarde. Vider le cache.

  4. Vérifier chaque page sur un téléphone et mettre un rappel.

    L'accueil, une page de service, le formulaire de contact, la page de paiement s'il y en a une. Puis un outil gratuit comme SSL Labs pour la note et la date d'expiration. Le certificat gratuit se renouvelle seul, mais un rappel dans l'agenda 10 jours avant l'expiration coûte zéro et évite la page rouge un vendredi soir.

Les questions qu'on nous pose sur le cadenas

Mon site est juste une vitrine, sans formulaire ni paiement. Est-ce que j'ai besoin du https?

Oui, pour deux raisons qui n'ont rien à voir avec les paiements. Le navigateur affiche « Non sécurisé » quand même et vos visiteurs ne savent pas que vous ne recueillez rien. Et Google tient compte du https dans le classement depuis 2015. Comme le certificat est gratuit et prend dix minutes, il n'y a pas de bonne raison de s'en passer.

Mon hébergeur veut me vendre un certificat à 90 $ par année. Est-ce que c'est mieux que le gratuit?

Pour un site de PME, non. Un certificat payant de base chiffre exactement de la même façon qu'un certificat Let's Encrypt. Les certificats payants « à validation étendue » affichaient autrefois le nom de l'entreprise en vert dans la barre d'adresse; les navigateurs ont retiré cet affichage en 2019. La seule différence qui reste est la durée (un an au lieu de 90 jours) et une garantie d'assurance que personne n'invoque jamais. Si votre hébergeur n'offre pas de certificat gratuit, c'est lui qu'il faut changer, pas le certificat.

Le cadenas est là, mais mon site a quand même été piraté. Comment c'est possible?

Parce que le cadenas protège la route, pas la maison. Un site piraté par une extension pas à jour reste parfaitement chiffré. Le visiteur reçoit la page de casino avec un beau cadenas. La sécurité du site lui-même, c'est le guide sur les mises à jour et, si c'est déjà fait, la page sur le site piraté.

Est-ce que je dois utiliser Cloudflare?

Pas forcément. Cloudflare accélère un site, le protège contre une partie des attaques et offre un plan gratuit et c'est pour ça que beaucoup d'agences l'installent. Mais il ajoute une couche à comprendre et c'est cette couche qui produit les erreurs 52x quand quelqu'un touche au certificat du serveur sans regarder le mode SSL. Si votre site est chez un hébergeur sérieux avec son propre cache et son certificat gratuit, Cloudflare n'est pas obligatoire. Si vous l'avez déjà, notez où il est réglé et qui a le mot de passe.

Mes courriels ont cessé de fonctionner en même temps que le certificat. C'est lié?

Souvent, oui, par le même chemin. Quelqu'un a changé les serveurs de noms du domaine (pour installer Cloudflare ou en changeant d'hébergeur) sans recopier les enregistrements de courriel (MX, SPF, DKIM). Le certificat ne se renouvelle plus et les courriels arrivent en indésirables ou n'arrivent plus. Dans ce cas, ce n'est pas une réparation de certificat, c'est une vérification complète du DNS et il vaut mieux la faire une fois, bien.

Les autres guides de cette série

Sources

Le cadenas manque encore?

Envoyez-nous l'adresse du site et une capture du message. On vous dit en moins d'une heure, pendant les heures d'ouverture, lequel des quatre cas c'est et ce que ça coûte.

Réparation WordPress à prix fixe

Ou écrivez-nous à info@effetcumulatif.com. Vous parlerez à la même personne du début à la fin.