Étude · État du web en .fr · octobre 2026
HTTPS sur les sites en .fr : le cadenas manque encore
Données collectées du 23 octobre 2026 au 27 octobre 2026 · méthodologie · données agrégées (JSON) · dossier complet (PDF)
HTTPS chiffre l’échange entre le navigateur et le site, et garantit au visiteur qu’il parle bien au bon serveur. Depuis que les certificats sont gratuits et que les hébergeurs les posent d’office, il est devenu la norme. Pas partout : 301 000 sites actifs en .fr s’en passent encore, ou présentent un certificat qu’un navigateur refuse.
- des sites actifs servis en HTTPS valide
- 87,1 %
- des sites actifs servis en HTTPS valide
- sites actifs sans HTTPS du tout
- 192 000
- sites actifs sans HTTPS du tout
- sites actifs au certificat invalide
- 109 000
- sites actifs au certificat invalide
Sites actifs et domaines dormants
Sites actifs
- HTTPS valide 87,1 %
- Pas de HTTPS 8,3 %
- Certificat invalide 4,7 %
Tous les domaines qui répondent
- HTTPS valide 68,1 %
- Pas de HTTPS 23,8 %
- Certificat invalide 8,1 %
Base : 2 327 297 sites actifs et 3 954 696 domaines qui répondent, pages d’attente et erreurs comprises.
Un certificat invalide est, pour le visiteur, pire que pas de HTTPS du tout : le navigateur affiche une alerte en
pleine page, et la plupart des gens rebroussent chemin. Les causes sont presque toujours banales : un certificat
expiré dont le renouvellement automatique a échoué, un certificat émis pour www mais pas pour le domaine
nu, ou un site déplacé chez un autre hébergeur sans que le certificat suive.
Sur l’ensemble des domaines qui répondent
Élargie aux 3 954 696 domaines qui répondent, pages d’attente et erreurs comprises, la part sans HTTPS valide monte nettement. Ce sont pour beaucoup des domaines dormants, mais la mesure rappelle qu’un nom de domaine oublié reste exposé : une page d’attente en HTTP sur un domaine à votre nom est une page que vous ne contrôlez pas.
Les serveurs bavards
Un serveur n’a aucune raison d’annoncer ce qu’il fait tourner. Pourtant, 28,4 %
des sites actifs exposent un en-tête X-Powered-By, qui indique souvent le langage et sa version exacte.
Ce n’est pas une faille en soi, mais c’est un panneau indicateur pour qui cherche des cibles : c’est d’ailleurs ce
qui nous a permis de mesurer le volet PHP de cette étude.
Pourquoi c’est un sujet pour une PME
- La confiance : depuis 2018, Chrome affiche « Non sécurisé » dans la barre d’adresse de toute page servie en HTTP.
- Le référencement : Google a fait de HTTPS un critère de classement dès 2014.
- Les données : tout ce qu’un visiteur saisit sur une page en HTTP circule en clair.
La correction est rarement un chantier : le plus souvent, il suffit d’activer le certificat chez l’hébergeur, de rediriger HTTP vers HTTPS et de vérifier que le renouvellement fonctionne. Encore faut-il que quelqu’un regarde.