Chrome 70 : des centaines de sites bientôt bloqués, le vôtre en fait-il partie?

Il y a quelques semaines, pour ses 10 ans, Chrome passait à la version 69 : nouvelles fonctions, nouvelle allure. Google ne compte pas s’arrêter là. Chrome 70 arrive dans quelques jours avec un resserrement de la sécurité qui pourrait rendre inaccessibles de nombreux sites, y compris des sites très fréquentés. Explications.

Du HTTP au HTTPS

Google poursuit un objectif clair : rendre la navigation la plus sûre possible. Depuis des années, il pousse tous les sites à passer du HTTP au HTTPS.

Première étape en janvier 2017 : Chrome affiche la mention « Non sécurisé » sur les pages HTTP qui demandent un mot de passe ou un numéro de carte de crédit. Depuis juillet 2018 et Chrome 68, tous les sites HTTP sont signalés de la même façon, sans exception. Le but est évident : faire du HTTPS la norme.

Chrome 70 et les anciens certificats Symantec : rien ne va plus

Même un site en HTTPS n’est pas forcément à l’abri. Sont visés les sites dont le certificat a été émis par l’ancienne infrastructure de Symantec, y compris sous les marques Thawte, VeriSign, Equifax, GeoTrust et RapidSSL.

Depuis avril 2018, Chrome 66 rejette déjà ceux de ces certificats émis avant le 1er juin 2016. Avec Chrome 70, attendu le 16 octobre 2018, tous les certificats de cette ancienne infrastructure cesseront d’être reconnus, peu importe leur date d’émission. Les sites concernés deviendront tout simplement inaccessibles dans le navigateur : l’internaute verra un message d’erreur qui l’empêchera d’aller plus loin.

Pourquoi une mesure aussi radicale? Google a relevé de graves lacunes dans la façon dont ces certificats étaient émis. Ils ne pouvaient donc plus garantir un niveau de sécurité suffisant.

Google a annoncé ce calendrier dès 2017, mais beaucoup de sites n’ont toujours pas agi, dont certains très fréquentés ou faisant autorité : la Federal Bank of India, des sites gouvernementaux de Tel-Aviv et, il y a quelques jours encore, Ferrari.

Si votre site est concerné, il est encore temps, mais à peine : vous avez jusqu’au 16 octobre 2018 pour remplacer votre certificat. Vous avez un doute? Notre équipe peut vérifier votre site et le remettre d’aplomb, que ce soit dans le cadre d’une intervention de sécurité WordPress ou d’une refonte de site Web.

Où en est-on en 2026?

La mesure a bel et bien été appliquée avec Chrome 70, et la généralisation des certificats gratuits a depuis fait du HTTPS la norme. Google est même allé plus loin : il a annoncé qu’à partir de Chrome 154, dont la sortie était prévue en octobre 2026, l’option « Toujours utiliser des connexions sécurisées » serait activée par défaut, avec un avertissement avant l’ouverture d’un site public en HTTP.

Référenceur est une agence de marketing numérique francophone de Belgique et du Luxembourg qui accompagne à distance des entreprises québécoises. Pour savoir si votre site est à jour sur le plan de la sécurité, obtenez un diagnostic gratuit.