En bref
Depuis le 21 octobre 2026, Chrome active pour tous ses utilisateurs, sur ordinateur comme sur mobile, le réglage « Toujours utiliser des connexions sécurisées ». Avant d'ouvrir pour la première fois un site public qui ne propose pas de connexion sécurisée (HTTPS), le navigateur affiche un avertissement et demande à l'internaute s'il veut continuer. Un site déjà en HTTPS n'est pas touché. Les sites oubliés, sous-domaines et anciennes adresses restés en HTTP le sont.
Un client vous trouve sur Google, appuie sur votre lien, et au lieu de votre page d’accueil il voit un écran qui lui explique que ce site ne propose pas de connexion sécurisée. Deux boutons : revenir en arrière, ou continuer quand même. La plupart reviennent en arrière.
Depuis le 21 octobre 2026, ce scénario n’est plus réservé à une poignée d’utilisateurs prudents. Google l’a activé par défaut dans Chrome, pour tout le monde.
Pour qui c'est important : les entreprises dont le site, ou une partie du site, est encore accessible en HTTP. C'est rare pour un site récent, beaucoup moins rare pour un site de plus de cinq ans, une page de réservation ajoutée à part ou un ancien mini-site que personne n'a éteint.
Ce que Google a changé le 21 octobre
L’équipe sécurité de Chrome a annoncé le 21 octobre 2026 que le navigateur demande désormais l’autorisation de l’internaute avant de se connecter à un site en HTTP. Le réglage « Toujours utiliser des connexions sécurisées » existait depuis 2022 en option, puis avait été activé plus tôt en 2026 pour les utilisateurs de la protection renforcée. Il est maintenant actif par défaut pour tous, sur ordinateur et sur mobile (Google, blog Chrome Security, 21 octobre 2026 ; Android Authority, 21 octobre 2026).
La différence avec avant tient en un mot : avant. Jusqu’ici, un site en HTTP s’ouvrait normalement, avec une petite mention « Non sécurisé » dans la barre d’adresse que peu de gens remarquaient. Désormais, l’avertissement s’affiche avant que la page ne se charge, et l’internaute doit choisir de revenir en arrière ou de continuer (Android Authority, 21 octobre 2026).
Le changement avait été annoncé un an à l’avance : en octobre 2025, l’équipe de Chrome expliquait que le navigateur essaierait chaque connexion en HTTPS et n’afficherait un avertissement que si le site ne le permet pas (Google, blog Chrome Security, 28 octobre 2025).
Qui voit l’avertissement, et quand
| Situation | Ce que fait Chrome |
|---|---|
| Site public en HTTPS | Rien, la page s’ouvre normalement |
| Site public resté en HTTP, première visite | Avertissement, l’internaute choisit de continuer ou non |
| Même site, visité au moins une fois toutes les deux semaines | Pas de nouvel avertissement |
| Adresse locale (box internet, intranet) | Pas d’avertissement par défaut |
Sources : Google, blog Chrome Security, 21 octobre 2026 ; Android Authority, 21 octobre 2026.
Google indique que, sur ordinateur, près de 95 % des utilisateurs ne voient aucun avertissement de ce type au cours d’une semaine, et moins de 1 % en voient trois ou plus. Les chiffres sont encore plus bas sur mobile (Google, blog Chrome Security, 21 octobre 2026). Autrement dit, la grande majorité du web est déjà en HTTPS, et c’est justement ce qui rend l’avertissement si visible pour ceux qui ne le sont pas : il surprend.
Pourquoi ça compte pour une PME
L’avertissement touche surtout les nouveaux visiteurs, puisque les habitués ne le revoient pas. Or ce sont précisément les gens qui ne vous connaissent pas encore : celui qui cherche un plombier chauffagiste un dimanche soir, la famille qui compare les chambres d’hôtes d’une région, le passant qui scanne le QR code de la carte d’un restaurant.
Ces personnes n’ont aucune raison de vous faire confiance avant d’avoir vu votre page. Un écran qui leur parle de sécurité avant même de l’afficher suffit à les renvoyer vers le résultat suivant. Vous ne verrez jamais ces visites perdues dans vos statistiques, puisque la page ne s’est pas chargée.
Le cas le plus fréquent : le site principal est bien en HTTPS, mais une adresse annexe ne l'est pas. Une page de prise de rendez-vous hébergée ailleurs, un ancien nom de domaine imprimé sur les cartes de visite, un QR code qui pointe vers une adresse en http://. Chrome juge chaque adresse, pas votre entreprise.
Vérifier votre site en cinq minutes
1. Ouvrez votre site dans Chrome. Regardez la barre d’adresse : l’adresse doit commencer par https:// et aucune mention « Non sécurisé » ne doit apparaître.
2. Tapez l’ancienne adresse à la main. Saisissez http:// suivi de votre nom de domaine, avec et sans « www ». Vous devez arriver sur la version sécurisée sans avertissement.
3. Faites la liste de vos adresses annexes. Sous-domaines (reservation., boutique., blog.), anciens noms de domaine, mini-sites d’événements, pages hébergées par un prestataire. Ouvrez-les une par une.
4. Testez vos supports imprimés. Scannez les QR codes de votre vitrine, de vos prospectus et de vos cartes. Ce sont souvent eux qui renvoient vers une adresse vieille de plusieurs années.
5. Notez ce qui coince. Chaque avertissement rencontré est une adresse à corriger. Si vous ne voyez rien, vous n’avez rien à faire.
Corriger ce qui doit l’être
Pour un site vitrine classique, le passage en HTTPS est rarement un chantier. Le certificat est le plus souvent proposé par l’hébergeur et s’active depuis l’espace client. Le travail porte sur ce qui l’entoure :
- rediriger toutes les adresses en HTTP vers leur équivalent en HTTPS, page par page, et pas seulement vers l’accueil ;
- mettre à jour les liens internes, les images et les formulaires pour qu’ils appellent tous des adresses en HTTPS ;
- contrôler les adresses annexes listées plus haut, et éteindre proprement celles qui ne servent plus ;
- corriger les supports : fiche d’établissement Google, réseaux sociaux, signature de courriel, QR codes à réimprimer si besoin.
L’équipe de Chrome recommande aussi de passer en HTTPS les pages qui ne font que rediriger, parce que même un simple renvoi en HTTP reste une connexion non protégée (Google, blog Chrome Security, 28 octobre 2025).
Le bon réflexe : gardez le réglage actif dans votre propre navigateur. Il devient un outil de contrôle gratuit : chaque fois que vous ouvrez une de vos adresses, Chrome vous dit tout de suite si elle pose problème.
Nous avons détaillé les autres points de base de la sécurité d’un site (mises à jour, sauvegardes, accès) dans l’article sur la sécurité du site web d’une PME.
Et si le site est trop vieux pour être corrigé ?
Cela arrive : un site construit il y a dix ans, sur un outil plus mis à jour, où chaque image est appelée en HTTP en dur dans le code. On peut corriger, mais le temps passé finit parfois par dépasser ce que vaut le site.
C’est souvent le bon moment pour se poser la question d’une refonte, que nous abordons dans l’article sur le bon moment pour refaire son site. Un site professionnel avec un vrai travail de référencement se situe entre 2 000 et 2 500 € HT, et il part en HTTPS dès le premier jour.
En résumé
Depuis le 21 octobre 2026, Chrome affiche à tous ses utilisateurs un avertissement avant d’ouvrir un site public qui n’est pas en HTTPS. Les sites déjà sécurisés ne sont pas concernés. Les adresses oubliées, elles, le sont : sous-domaines, anciens domaines, QR codes et pages annexes.
Cinq minutes suffisent pour vérifier. Si quelque chose coince, la correction est le plus souvent simple, et elle évite de perdre en silence les clients qui vous découvrent.
Si vous voulez un état des lieux complet de ce que votre site montre à Google et à vos visiteurs, c’est le travail d’un audit. Si le sujet est de repartir sur des bases saines, on en parle sur la page création de site, et les budgets sont détaillés sur la page tarifs.
Sources : Google, blog Chrome Security, Joe DeBlasio, Eric Trouton, Chris Thompson, Mustafa Emre Acer et Carlos Joan Rafael Ibarra Lopez, « Chrome now warns before insecure HTTP connections », 21 octobre 2026 ; Android Authority, Karandeep Singh Oberoi, 21 octobre 2026 ; Google, blog Chrome Security, « HTTPS by default », 28 octobre 2025.
