Problème
Chrome affiche « Non sécurisé » sur le site du client
Trois pannes sans rapport entre elles produisent le même mot dans la barre d’adresse. Tant qu’on ne les a pas distinguées, on répare au hasard.
Ouvrez l’adresse en https:// et regardez ce qui se passe. Un écran d’avertissement avant la page : c’est le certificat. La page s’affiche avec la pastille grise : c’est du contenu mixte, et la console le nomme. L’adresse retombe en http:// : c’est la redirection qui manque.
À faire tout de suite
Trois gestes, et le premier est un simple coup d’œil. Il vous évite de réémettre un certificat qui n’a rien.
Regardez si un écran précède la page
1 minSi le navigateur affiche un avertissement avant d’arriver sur le site, le problème est le certificat et rien d’autre : allez le remettre en service, le reste attendra. Si la page s’affiche normalement et que seule la pastille de la barre d’adresse a changé, le certificat va bien et la cause est dans le contenu de la page.
Ouvrez la console et cherchez « Mixed Content »
3 minLa console du navigateur préfixe ces avertissements par « Mixed Content » et donne l’adresse exacte de la ressource fautive. C’est souvent une image, une police, une feuille de style ou un script appelé en http:// dans une page servie en https://. Corrigez la ressource, pas la page : le plus souvent une seule URL est en cause, et elle vient du contenu, pas du code.
Vérifiez la redirection, sur le domaine nu et sur le www
5 minDemandez l’adresse en http:// et regardez où vous atterrissez. Une redirection permanente doit vous envoyer sur la version https:// du même nom. Testez les deux entrées : le cas classique est un domaine nu correctement redirigé et un www laissé en clair, ou l’inverse.
Ce que dit exactement la console
Le navigateur ne se contente pas de griser la pastille : il nomme la ressource qui déclasse la page. C’est la ligne à chercher, et la seule qui vous fasse gagner du temps.
La page s’affiche normalement. Aucun écran d’avertissement ne l’a précédée.
Mixed Content: … requested an insecure element 'http://example.com/logo.png'
Le cadenas a disparu de la barre d’adresse, remplacé par la mention « Non sécurisé ».
- Page affichée, pas d’écran avant : le certificat est valide. Ne le réémettez pas, vous perdriez une demi-heure sur une pièce qui va bien.
- La console préfixe ces messages par « Mixed Content » et cite l’adresse en cause. C’est votre coupable, et il est nommé. Filtrez la console sur ce mot plutôt que de relire le code.
- La pastille est une conséquence, pas une cause. Elle disparaîtra d’elle-même quand la dernière ressource en clair aura été corrigée — pensez à recharger en vidant le cache avant de conclure.
Trois symptômes, trois pannes, trois gestes
Ouvrez l’adresse en https:// dans une fenêtre de navigation privée — pour que votre cache ne vous mente pas — et regardez laquelle des trois branches vous décrit.
Que voyez-vous exactement en ouvrant l’adresse en https:// ?
- Un écran d’avertissement avant la page
C’est le certificat.
Le code affiché sous le message nomme la panne : expiration, nom non couvert, ou chaîne incomplète. Rien d’autre ne se répare tant que celui-là n’est pas réglé.
- La page s’affiche, pastille « Non sécurisé »
C’est du contenu mixte.
Une ressource est appelée en http:// dans une page servie en https://. La console la nomme ; corrigez l’adresse de la ressource, pas la page qui l’appelle.
- L’adresse retombe en http://
C’est la redirection qui manque.
Le site sait répondre en HTTPS, mais rien ne force le passage. Posez la redirection permanente, sur le domaine nu et sur le www.
Les quatre pièges de cette panne-là
Ce sont eux qui font qu’on annonce « c’est corrigé » deux fois avant que ce soit vrai.
Le www qu’on oublie
Le certificat couvre le domaine nu, la redirection aussi, et le www reste en clair. Une bonne moitié des visiteurs tape encore le www, et votre test ne le voit jamais parce que vous, vous ne le tapez pas.
L’image remontée par le client
Un contenu mixte n’est pas forcément dans le code : il arrive par le gestionnaire de contenu, le jour où quelqu’un colle une image hébergée ailleurs, en http://. Corriger le code ne suffira pas, il faut corriger le contenu.
Votre propre cache
Après correction, votre navigateur continue d’afficher l’ancien état pendant un moment. Rechargez en vidant le cache, ou testez en navigation privée, avant d’écrire au client que c’est réglé.
Le
HSTSposé trop tôtL’en-tête
HSTSdit au navigateur de n’accepter ce site qu’en HTTPS, pour la durée que vous indiquez. Posé avant que tout fonctionne, il rend le site inaccessible sans même laisser le lien « continuer quand même » — et il faut attendre la fin de la durée déclarée.
Pourquoi c’est arrivé
Parce que « sécurisé » n’est pas un réglage mais un résultat : il faut que le certificat soit valide, que la page soit servie en HTTPS, et que tout ce qu’elle charge le soit aussi. Il suffit qu’un seul des trois lâche pour que la mention tombe.
Le cas le plus fréquent n’est pas une erreur de configuration, c’est du contenu ajouté après la mise en ligne. Le site est parti impeccable ; six mois plus tard, quelqu’un a collé une image, intégré une carte ou ajouté un script de suivi en http://, et la page a été déclassée sans que rien ne casse visiblement.
L’autre cas courant est une migration à moitié faite : le site répond en HTTPS, mais l’ancienne redirection HTTP n’a jamais été remise, ou elle n’a été posée que sur l’un des deux noms.
Comment l’éviter la prochaine fois
Mettez le contrôle dans la livraison : le domaine nu et le www répondent tous les deux en HTTPS, redirigent tous les deux, et la console est vide de « Mixed Content » sur les trois pages les plus visitées. Trois minutes à la livraison, contre une demi-journée six mois plus tard.
Bloquez la cause à la racine plutôt que ses effets : si le gestionnaire de contenu permet de coller des adresses externes, il fabriquera du contenu mixte tôt ou tard. Une consigne écrite au client et un contrôle périodique valent mieux qu’une correction par image.
Et surveillez l’état depuis l’extérieur, en continu. Le déclassement d’une page ne déclenche aucune alerte, ne casse aucun formulaire et n’apparaît dans aucun journal : personne ne le remarque avant un client, parfois des mois plus tard.
Contrôlez le certificat en trente secondes
Pour écarter la première branche de l’arbre : l’outil lit le certificat réellement servi, sa date de fin, les noms qu’il couvre et l’état de sa chaîne. S’il est vert, cherchez du côté du contenu.
Ce qui se dégrade sans rien casser.
DomainVigil relit le certificat, la redirection et la réponse du site comme le ferait un visiteur, plusieurs fois par jour, sur tous les domaines de vos clients. Cinq domaines gratuits, pour toujours.
Cinq domaines gratuits, pour toujours. Sans carte bancaire.