HTTPS et contenu mixte pour boutiques en ligne

Pour Chrome, le HTTP simple est désormais l'exception. Avec Chrome 154, sorti à l'automne 2026, l'option « Toujours utiliser des connexions sécurisées » est activée par défaut pour tous : Chrome essaie d'abord le HTTPS et demande l'accord de l'internaute avant de charger un site public sans HTTPS. Pour une boutique, cet avertissement s'intercale entre le clic sur une publicité et la fiche produit. La solution : des URL, des ressources et des redirections exclusivement en HTTPS.

Ce qui a changé dans Chrome

Google a annoncé ce changement en octobre 2025 et l'a déployé en deux temps : d'abord pour les utilisateurs de la Protection renforcée (Chrome 147, avril 2026), puis pour tout le monde avec Chrome 154. Quelques points comptent pour un e-commerçant :

• Seuls les sites publics sont concernés. Les adresses locales et les noms d'intranet sont exclus.
• Chrome ne répète pas l'avertissement pour un site visité régulièrement. Ce sont les nouveaux visiteurs et les visiteurs occasionnels, ceux qui arrivent d'une publicité, d'une recherche ou d'une newsletter, qui le voient.
• L'avertissement peut être contourné, mais chaque clic de plus avant la fiche produit vous fait perdre des acheteurs.

Étape 1 : vérifier que chaque page fonctionne en HTTPS

1. Ouvrez en https:// votre page d'accueil, une catégorie, une fiche produit, le panier et la commande. Aucune ne doit afficher d'alerte de certificat.
2. Vérifiez que le certificat couvre à la fois exemple.fr et www.exemple.fr, et qu'il se renouvelle automatiquement.
3. Assurez-vous que chaque sous-domaine vers lequel vous renvoyez (blog, centre d'aide, CDN d'images) a lui aussi un certificat valide.

Étape 2 : une seule redirection

Saisir exemple.fr doit mener à l'URL finale en une seule redirection, par exemple http://exemple.fr → https://www.exemple.fr/. Les chaînes HTTP → HTTPS → www → barre oblique finale ajoutent du temps de chargement à chaque visite et perdent un peu de signal à chaque étape.

Google rappelle aussi que les sites qui n'utilisent le HTTP que pour rediriger doivent terminer leur migration, car cette première requête non sécurisée passait jusqu'ici inaperçue. Concrètement :

• utilisez des URL en https:// dans le sitemap, les balises canonical et les liens internes ;
• mettez à jour les destinations de vos publicités, vos modèles d'e-mails, vos profils sociaux et vos fiches sur les places de marché ;
• une fois que tout fonctionne, envisagez un en-tête HSTS pour que les navigateurs passent directement en HTTPS :

Strict-Transport-Security: max-age=31536000; includeSubDomains

Commencez par un max-age court et augmentez-le quand vous êtes sûr que tous vos sous-domaines gèrent le HTTPS.

Étape 3 : supprimer le contenu mixte

Une page peut être en HTTPS et charger malgré tout des ressources en HTTP. Les anciennes descriptions produit sont le coupable habituel : des images collées il y a des années avec des URL en http://, ou des intégrations d'un ancien thème ou module.

• Cherchez src="http:// dans les descriptions produit et catégorie, les pages CMS et les fichiers du thème.
• Remplacez-les par du https:// ou des URL relatives, après avoir vérifié que la ressource existe bien en HTTPS.
• Ouvrez la console du navigateur sur quelques fiches produit : les avertissements de contenu mixte y apparaissent.

Comment Averifly vous aide

Averifly vérifie votre certificat et signale les pages qui demandent plusieurs redirections ainsi que les pages HTTPS qui chargent des images en HTTP, sur un échantillon de votre boutique. Ces contrôles complètent ceux des Core Web Vitals et des pages de confiance que vos clients recherchent. Lancez une analyse gratuite pour savoir quoi corriger en premier.