Le petit cadenas à côté de l’adresse est devenu un réflexe : cadenas égale site sûr. C’est rassurant, et c’est en partie faux. Ce que le cadenas garantit vraiment est plus modeste qu’on ne le croit, et bien plus fragile.
Le cadenas n’est pas inutile, au contraire : sans lui, les navigateurs affichent « non sécurisé » et vos visiteurs hésitent. Mais s’en contenter, c’est comme vérifier que la porte d’entrée est fermée sans regarder si les fenêtres le sont aussi.
Ce que le cadenas dit vraiment
Une seule chose : la connexion entre le visiteur et le site est chiffrée, donc personne ne peut lire ce qui s’échange en chemin (un formulaire de contact, par exemple). C’est tout. Il ne dit pas que le site est à jour, ni qu’il est bien protégé, ni que l’entreprise derrière est sérieuse. Beaucoup de sites frauduleux affichent eux aussi un cadenas, comme je l’expliquais dans cet article sur les sites suspects.
Ce qui peut mal tourner… du jour au lendemain
Le cadenas repose sur un certificat, qui a une date de fin. Beaucoup de certificats sont valables 90 jours et se renouvellent automatiquement. Tant que tout fonctionne, personne n’y pense. Puis un changement d’hébergeur, une mise à jour ou une simple tâche automatique qui s’arrête, et le certificat expire. Le lendemain, vos visiteurs ne voient plus votre site mais une page d’avertissement rouge (« Votre connexion n’est pas privée »). La plupart repartent sans chercher à comprendre.
Quatre vérifications à faire vous-même
- Lisez la date de fin. Cliquez sur l’icône à gauche de l’adresse, puis sur l’option indiquant que la connexion est sécurisée et que le certificat est valide. Notez la date d’expiration.
- Testez l’ancienne adresse. Tapez votre adresse avec
//(sans le « s »). Le site doit basculer tout seul vers//. - Testez avec et sans « www ». Les deux versions doivent s’ouvrir sans avertissement.
- Parcourez quelques pages. Accueil, contact, une page avec beaucoup d’images : le cadenas doit rester partout. Un cadenas barré ou un message « non sécurisé » sur une seule page indique qu’un élément (souvent une image) est chargé de façon non sécurisée.
La question que ces tests font apparaître
Vous avez maintenant une date. Reste à savoir qui renouvelle le certificat, comment, et ce qui se passe si vous changez d’hébergeur. Sur beaucoup de sites de TPE, personne ne peut répondre avec certitude. Et un certificat en règle ne dit rien du reste : mises à jour, extensions, accès administrateur.
Si vous voulez qu’on regarde ensemble l’état réel de votre site, écrivez-moi ou réservez une session. C’est précisément ce que je fais : dire ce qui va, et ce qui ne va pas.
