Chrome : alertes HTTP dès octobre

En octobre 2026, Google Chrome modifie un réglage resté facultatif pendant des années. À partir de Chrome 154, le navigateur activera pour tout le monde l'option « Toujours utiliser des connexions sécurisées ». Concrètement, Chrome tentera d'abord le HTTPS pour chaque adresse, et avant d'ouvrir un site public qui ne répond qu'en HTTP, il s'arrêtera pour afficher au visiteur une page d'avertissement lui demandant s'il souhaite vraiment continuer.

C'est un changement daté dans le futur, et c'est justement pour cela que nous en parlons maintenant. Pour la plupart des entreprises monégasques, ce sera un non-événement : leur site tourne déjà en HTTPS. Pour une minorité — en général celles qui n'ont pas touché à leur site depuis plusieurs années — cela transformera discrètement une page qui fonctionne en écran « ce site n'est pas sécurisé », et personne dans l'entreprise ne le saura avant qu'un client ne le signale.

Ce qui change réellement

Chrome propose depuis 2022 un réglage optionnel appelé « Toujours utiliser des connexions sécurisées ». L'annonce de Google décrit un déploiement en deux temps : en avril 2026, Chrome 147 l'a activé par défaut pour les utilisateurs ayant choisi la protection renforcée (« Enhanced Safe Browsing »), soit environ un milliard de personnes selon Google. En octobre 2026, Chrome 154 l'active par défaut pour tous.

Le périmètre est volontairement restreint :

• Il ne concerne que les sites publics — les domaines classiques comme exemple.com ou votreentreprise.mc. Les adresses locales, les intranets et les noms d'hôte sans point sont exclus, car les certificats y sont difficiles à obtenir.
• L'avertissement est contournable : le visiteur peut cliquer pour poursuivre. Mais il s'agit d'une page pleine, pas d'une petite icône.
• Chrome n'insistera pas sur les sites que l'utilisateur visite régulièrement. Selon les tests de Google, l'utilisateur médian verra moins d'un avertissement par semaine.
• Chaque utilisateur peut désactiver l'option, mais l'immense majorité ne modifie jamais les réglages par défaut d'un navigateur.

D'après les chiffres de Google, le HTTPS représente déjà 95 à 99 % des pages chargées selon la plateforme, ce qui explique que le changement de défaut paraisse sans risque. Les quelques pour cent restants, c'est là que se cachent les problèmes.

Pourquoi ces derniers pour cent comptent à Monaco

Le site d'une entreprise monégasque est rarement un site à fort trafic. C'est un site à faible trafic et à forte valeur : quelques visites par jour, dont plusieurs viennent d'un client potentiel, d'un bailleur, d'un family office ou d'un journaliste qui vérifie que vous existez bel et bien. Un avertissement de sécurité à ce moment précis coûte très cher. Personne ne clique sur « continuer quand même » chez un gestionnaire de patrimoine, une clinique ou un courtier en yachts. On ferme l'onglet.

Les entreprises les plus exposées sont celles que l'on imagine : une boutique dont le site date de 2017 et n'a jamais été revu ; un restaurant dont la page de réservation vit sur un sous-domaine que personne n'entretient ; un cabinet dont la page « provisoire » est devenue définitive. Ce ne sont pas des entreprises négligentes. Ce sont des entreprises pour qui le site a été un projet ponctuel plutôt qu'un système vivant — exactement le vide qu'une maintenance de site web est censée combler.

Les cas que l'on oublie

Le site principal est généralement en ordre. Là où nous trouvons systématiquement du HTTP, c'est autour :

Les anciens liens en circulation. Brochures imprimées, cartes de visite, signatures d'e-mail, fiche Google Business Profile et bios sur les réseaux sociaux rédigées il y a des années affichent souvent encore http://. Si votre serveur redirige correctement HTTP vers HTTPS, Chrome gère la mise à niveau sans bruit. Si la redirection manque ou est cassée sur un sous-domaine, ce vieux lien devient un avertissement.

Les QR codes. Chaque menu de restaurant, carte d'accueil d'hôtel et affiche d'événement de la Principauté porte désormais un QR code, et beaucoup ont été générés une fois pour toutes sans jamais être revérifiés. Un QR code qui encode une adresse HTTP vers une page sans certificat valide déclenchera l'avertissement sur le téléphone du client. Pour l'hôtellerie-restauration, cela mérite à lui seul dix minutes d'audit — c'est l'un des problèmes récurrents que nous rencontrons sur les sites d'hôtels et de restaurants.

Les domaines secondaires. Pages d'atterrissage de campagne, le .com acheté en même temps que le .mc, l'ancienne marque qui renvoie encore du trafic. Les domaines de redirection sont souvent configurés chez le registrar, sans aucun certificat.

Le contenu mixte. Une page servie en HTTPS qui charge un script, une image ou une police en HTTP. Chrome bloque ou met déjà à niveau l'essentiel, mais une page qui dépend d'une ressource tierce disponible uniquement en HTTP peut se dégrader d'une façon qui ressemble à un défaut de design plutôt qu'à un problème de sécurité.

Les certificats expirés. Ce n'est pas le même problème, mais c'est le même symptôme. Un site qui avait le HTTPS et a laissé son certificat expirer est en plus mauvaise posture qu'un site qui ne l'a jamais eu, et avec des durées de vie des certificats qui raccourcissent selon un calendrier publié, « quelqu'un le renouvelle à la main » n'est plus une réponse sûre.

Une vérification de trente minutes, sans développeur

Pour le premier passage, personne n'a besoin d'être technicien.

1. Ouvrez votre site dans Chrome. Allez dans Paramètres, puis Confidentialité et sécurité, puis Sécurité, et activez dès aujourd'hui « Toujours utiliser des connexions sécurisées ». Vous verrez exactement ce que vos visiteurs verront en octobre.
2. Tapez votre adresse sous toutes les formes que vous avez déjà publiées : avec et sans www, avec http:// explicitement, et vos éventuels autres domaines. Chacune doit aboutir à une page HTTPS avec un cadenas et sans avertissement.
3. Scannez avec votre téléphone chaque QR code que vous avez en circulation. Vérifiez l'adresse qu'il encode, pas seulement la page où il finit par atterrir.
4. Cherchez http:// dans votre signature d'e-mail, votre fiche Google Business Profile et vos profils sociaux.
5. Notez tout ce qui a produit un avertissement, une chaîne de redirections ou une page qui semble cassée.

Si la liste est vide, c'est réglé. Sinon, les correctifs sont généralement modestes : une règle de redirection, un certificat sur un sous-domaine oublié, un lien corrigé. Ce qu'il faut éviter, c'est de découvrir cette liste en novembre, via la capture d'écran d'un client.

Si c'est le site lui-même qui pose problème

Il arrive que l'audit révèle quelque chose de plus large : un hébergement incapable d'émettre des certificats, une plateforme qui n'est plus maintenue, ou une construction si ancienne que la rafistoler coûte plus qu'elle ne vaut. Dans ce cas, le conseil honnête n'est pas de greffer du HTTPS sur quelque chose qui échouera aussi au prochain test. Un site correctement construit intègre HTTPS, renouvellement automatique des certificats, redirections et en-têtes de sécurité en standard, pas en option ; c'est simplement notre façon d'aborder tout projet de développement web.

Pour les entreprises immatriculées à Monaco, une refonte de ce type peut être éligible à un soutien via les programmes numériques du Gouvernement — nous avons consacré une page aux projets de site subventionnés par le Fonds Bleu. Les conditions d'éligibilité évoluent : vérifiez les règles en vigueur auprès de la Cellule Économie Numérique avant de bâtir un plan dessus.

Le calendrier

Octobre est aussi le mois où les Assises de la Cybersécurité remplissent le Grimaldi Forum, ce qui rappelle utilement qu'à Monaco, la posture de sécurité est de plus en plus un sujet que clients, partenaires et assureurs abordent. Un avertissement du navigateur sur votre page d'accueil est la manière la plus visible qui soit d'échouer à cette question — et l'une des moins coûteuses à corriger.

Il vous reste quelques semaines. Si vous souhaitez que nous fassions la vérification pour vous et que nous vous disions franchement si quelque chose va casser, contactez-nous.