Comment savoir si un site est sécurisé, le vôtre compris ?

Pour savoir si un site est sécurisé, je lis d’abord son adresse : elle doit commencer par https://, et le navigateur ne doit afficher aucun message « Non sécurisé ». Ce contrôle prend dix secondes. Il ne suffit jamais seul, et c’est tout l’objet de cette page : quelques vérifications rapides, valables chez un fournisseur comme sur le site de votre propre entreprise.

Que vérifier en premier dans la barre d’adresse ?

Regardez le début de l’adresse. HTTPS signifie que les échanges entre votre navigateur et le site circulent chiffrés : une personne qui écoute la connexion, sur un wifi public par exemple, ne lit ni votre mot de passe ni votre numéro de carte. Le chiffrement repose sur un certificat, un fichier numérique installé sur le serveur qui relie le chiffrement à une adresse précise. Sans lui, Chrome affiche « Non sécurisé » depuis 2018.

Lisez ensuite l’adresse en entier, de gauche à droite, jusqu’au premier « / ». Ce segment, le nom de domaine, désigne le site : c’est l’adresse réservée auprès d’un bureau d’enregistrement pour une durée donnée. Une lettre doublée, un tiret en trop ou une extension inhabituelle comme .top ou .shop suffisent à imiter une enseigne connue. Je tape moi-même l’adresse d’une marque plutôt que de cliquer sur un lien reçu par mail. Sur mobile, la barre masque parfois la fin de l’adresse : touchez-la pour la déplier avant de saisir quoi que ce soit.

Le cadenas suffit-il à prouver qu’un site est fiable ?

Non. Le cadenas atteste le chiffrement de la connexion. Il ne dit rien de l’honnêteté de l’exploitant. Les certificats gratuits de Let’s Encrypt, valables 90 jours, sont délivrés à toute personne qui prouve contrôler un nom de domaine : une fausse boutique en obtient un en quelques minutes. Depuis septembre 2023, Chrome remplace d’ailleurs le cadenas par une icône de réglages, un symbole que Google jugeait trompeur. À vous de ne pas lui prêter plus de pouvoir qu’il n’en a.

⚠️ Un cadenas fermé s’affiche aussi sur un site frauduleux : le certificat atteste l’adresse, jamais la bonne foi de celui qui l’exploite.

Le piège classique : juger sur l’apparence. Un design soigné s’obtient en dix minutes avec un modèle prêt à l’emploi, alors que des mentions légales cohérentes exigent de vraies informations. Je regarde donc le pied de page avant tout le reste.

Quels contrôles faire en deux minutes ?

Pour savoir si un site est sécurisé, voici l’ordre que je suis, du plus rapide au plus parlant. Vous pouvez l’appliquer à n’importe quel site, qu’il vende des chaussures ou des devis.

1. L’adresse commence par https, s’écrit sans faute et ne porte aucune extension étrange.
2. Les mentions légales donnent un nom, une adresse, un numéro SIREN, un mail, un téléphone et l’hébergeur du site.
3. La page de paiement affiche 3D Secure et ne réclame jamais votre code PIN.
4. L’entreprise existe ailleurs que sur ce site : fiche publique, réseaux sociaux anciens, avis datés.
5. Le navigateur ne bloque pas la page. Si une alerte rouge apparaît, vous fermez l’onglet.

Un seul signal ne décide rien. C’est leur cumul qui rassure : si deux contrôles sur quatre échouent, je ferme l’onglet. Pour votre propre site, ces vérifications coûtent peu : un certificat gratuit suffit à la plupart des petits sites, et le vrai budget se décrit dans le prix d’un site internet.

Comment vérifier que votre propre site est sécurisé ?

Retournez la question. Vos visiteurs appliquent ces contrôles à votre site, et un avertissement de sécurité les fait fuir plus sûrement qu’un design daté. Testez en trois gestes, dans une fenêtre de navigation privée :

1. Tapez votre adresse avec http:// sans le s : elle doit basculer seule vers https.
2. Cliquez sur l’icône à gauche de l’adresse, puis ouvrez le certificat pour lire sa date de fin.
3. Parcourez trois pages en cherchant un contenu mixte : une image ou un script chargé en http suffit à déclencher un avertissement, même sur une page en https.

Un certificat expiré ne passe pas inaperçu : le navigateur affiche une page d’alerte plein écran, et la plupart des visiteurs repartent. Les certificats gratuits se renouvellent seuls tous les 90 jours quand l’hébergeur a activé l’option, alors demandez-lui. Notez la date de fin dans votre agenda : c’est le geste le plus simple pour éviter la panne. Sous WordPress, les réglages du premier jour fixent l’adresse en https, et c’est là qu’un contenu mixte se corrige.

HTTPS ne protège pas un site piraté. Une extension oubliée ou un WordPress en retard ouvre la porte bien plus souvent qu’une connexion non chiffrée. Je lance donc les mises à jour chaque mois, et je vérifie le certificat le même jour.

Quelles mentions et quel paiement rassurent vos visiteurs ?

Les mentions légales servent d’abord à vous identifier. Pour un entrepreneur individuel, Service Public demande de publier le nom, l’adresse, le numéro SIREN, un mail et un téléphone, le numéro de TVA le cas échéant, et l’identité de l’hébergeur. L’absence de ces informations est sanctionnée. Vous les placez dans une page liée depuis le pied de chaque page.

La bannière de cookies compte aussi. Un cookie est un petit fichier déposé sur l’appareil du visiteur pour suivre sa navigation. La CNIL impose son consentement préalable, et refuser doit coûter autant de clics qu’accepter. Une bannière où seul le bouton « Accepter » saute aux yeux trahit un site peu soigné.

Si vous vendez en ligne, confiez la carte bancaire à un prestataire de paiement : votre site n’en voit jamais le numéro, et la page de paiement porte l’authentification forte. Le détail des étapes se lit dans l’article pour ouvrir une boutique en ligne sans vous tromper.

Dernier point, souvent négligé : le titulaire du nom de domaine. Selon l’Afnic, c’est lui qui détient les droits sur l’adresse. Vérifiez que votre nom figure sur la réservation, et non celui de votre prestataire.

Savoir si un site est sécurisé ne demande ni outil payant ni compétence technique. Une adresse lue avec attention, des mentions vérifiées et un paiement confié à un tiers écartent déjà les arnaques les plus courantes, chez les autres comme chez vous. Reprenez ensuite ces gestes une fois par mois, au même moment que vos mises à jour : la routine compte plus que l’outil.

FAQ sur la sécurité d’un site