Que signifie réellement cet avertissement ?
Avec HTTPS, le navigateur vérifie le certificat, le domaine, la période de validité et la chaîne de confiance. S’il ne peut confirmer l’un de ces éléments, il affiche une alerte. Celle-ci ne prouve pas que le site est malveillant, mais l’identité de la connexion ne peut actuellement pas être vérifiée normalement.
Causes les plus courantes
- Certificat expiré ou pas encore valide.
- Certificat ne couvrant pas le nom de domaine visité.
- Chaîne de certificats intermédiaires incorrecte ou incomplète.
- Date ou heure erronée sur l’appareil.
- Portail de connexion d’un Wi-Fi public interceptant la première requête.
- Antivirus, proxy professionnel ou logiciel local perturbant TLS.
- DNS ou réglage local dirigeant vers le mauvais serveur.
Étapes sûres pour les visiteurs
- Vérifiez l’URL exacte et le domaine que vous vouliez ouvrir.
- Vérifiez l’horloge de l’appareil : les certificats ne sont valables que durant une période précise.
- Sur un Wi-Fi public, effectuez la connexion au portail depuis une page sans données sensibles.
- Essayez un autre appareil ou réseau fiable. Si l’alerte disparaît, un problème local est possible.
- Ne contournez pas l’alerte avant de connaître sa cause sur les pages de banque, achat, e-mail, mot de passe ou carte bancaire.
Si un seul appareil est concerné
Comparez l’horloge, les logiciels de sécurité, le VPN ou proxy et les certificats locaux. Si les autres appareils du même réseau accèdent au site, une cause locale est plus probable qu’un problème du serveur.
Si tout le monde reçoit l’alerte
Si plusieurs appareils et réseaux reproduisent le problème, le domaine, le certificat ou la configuration du serveur est plus probablement en cause. L’exploitant doit contrôler le certificat réellement présenté par l’adresse publique en production.
Si vous exploitez le site
Vérifiez les dates, noms SAN, la chaîne complète, le renouvellement automatique et la configuration des proxys/CDN. Après renouvellement, assurez-vous que le point d’accès public affiche bien le nouveau certificat, pas seulement un serveur d’origine caché.
Vérifiez chaque nom de domaine ou sous-domaine séparément. Un certificat pour example.com ne couvre pas automatiquement tous ses sous-domaines sans SAN ou wildcard adapté.
Un cadenas prouve-t-il la fiabilité du site ?
Non. HTTPS chiffre la connexion et valide un nom de domaine, mais ne garantit pas l’honnêteté commerciale. Les sites frauduleux peuvent aussi utiliser des certificats TLS valides. Vérifiez l’identité du vendeur et les conditions de paiement par des sources indépendantes.