Vous pouvez trouver des pages non HTTPS indexées dans Google en utilisant l’opérateur site: combiné avec la commande -inurl:https. En saisissant ‘site:yourdomain.com -inurl:https’ dans la barre de recherche, vous demandez au moteur d’afficher uniquement les pages de votre domaine qui manquent du protocole sécurisé dans leur chaîne d’URL indexée. Cette méthode directe vous aide à auditer la configuration de sécurité de votre site sans avoir besoin de logiciel d’exploration tiers.
L’identification de ces pages est la première étape pour protéger vos visiteurs des avertissements de contenu mixte. Lorsqu’un navigateur charge une page HTTPS mais extrait des ressources comme des images ou des scripts d’une source HTTP, cela déclenche une alerte de sécurité. Utiliser les commandes de recherche Google vous permet de voir exactement ce que voit le moteur de recherche, fournissant une liste claire d’URL nécessitant une attention immédiate.
Pourquoi Google indexe-t-il les pages non HTTPS ?
Google indexe les pages non HTTPS lorsque votre configuration de serveur ne redirige pas les requêtes non sécurisées vers leurs homologues sécurisés. Même si vous avez un certificat SSL installé, des règles côté serveur inappropriées ou des liens internes incohérents peuvent conduire à l’existence des deux versions d’une page dans l’index. Les moteurs de recherche traitent celles-ci comme des entités distinctes à moins que vous ne définissiez explicitement la source canonique.
Dans une configuration de serveur typique, les erreurs de configuration proviennent souvent de fichiers hérités. Si votre site a évolué sur plusieurs années, vous pourriez avoir d’anciens dossiers ou sous-répertoires qui n’ont jamais été configurés pour forcer le SSL. Ces pages restent disponibles via le port 80, et parce qu’elles sont accessibles, le robot Google continue de les vérifier comme contenu valide, les gardant dans l’index aux côtés de leurs alternatives sécurisées.
Une autre raison de ce comportement est la présence de liens codés en dur. Si votre structure de liens internes pointe vers ‘http://example.com’ au lieu du chemin relatif ou de la version ‘https’, les robots suivront ces chemins et les indexeront en conséquence. Même avec une redirection 301 en place, la version HTTP initiale pourrait persister dans les résultats de recherche jusqu’à ce que le robot traite à nouveau toute la structure du site.
Comment effectuer un audit en utilisant des opérateurs de recherche
Pour identifier ces pages, vous devriez adopter une approche systématique pour interroger votre propre site. Commencez par isoler les URL potentiellement non sécurisées, puis vérifiez manuellement leurs codes d’état. L’objectif est de nettoyer votre index de ces entrées pour vous assurer que les utilisateurs reçoivent toujours du contenu chiffré et pour maintenir l’intégrité du profil de sécurité de votre site.
- Utilisez ‘site:yourdomain.com -inurl:https’ dans la barre de recherche Google pour lister toutes les pages actuellement indexées sans le protocole sécurisé.
- Utilisez ‘site:yourdomain.com inurl:http’ pour trouver des occurrences HTTP spécifiques qui pourraient causer des problèmes de contenu mixte.
- Vérifiez votre fichier robots.txt pour vous assurer que vous ne bloquez pas accidentellement les versions HTTPS de l’exploration.
- Vérifiez que votre configuration .htaccess ou Nginx contient une redirection 301 permanente pour tout le trafic HTTP entrant.
Lors de la réalisation de cet audit, soyez prêt à enquêter également sur vos sous-domaines. Souvent, le site principal est sécurisé, mais un environnement de test oublié ou un sous-domaine de blog hérité sur un serveur différent pourrait encore servir du contenu via HTTP. Utilisez la commande ‘site:subdomain.yourdomain.com -inurl:https’ pour vérifier ces zones spécifiquement.
Comment Alien Road applique ce processus
Chez Alien Road, nous traitons les audits de sécurité comme la base de chaque mission technique. Lorsque nous intégrons un client, nous effectuons une vérification manuelle de l’index de recherche avant d’initier des audits techniques plus importants. Nous recherchons des écarts entre la structure de site prévue et ce que Google affiche réellement dans les pages de résultats, garantissant qu’aucune ancienne page non sécurisée ne dilue l’autorité du site.
En introduisant des contraintes de proximité, les professionnels de la recherche gagnent la capacité d’inspecter à quel point des concepts liés sont proches au sein d’un corps d’article ou d’une structure de titres.
Google Search Central
Par exemple, lors d’un audit récent pour un client de vente au détail, nous avons découvert que leur CDN d’images utilisait toujours des points de terminaison HTTP pour d’anciennes galeries de produits. En utilisant des opérateurs de recherche, nous avons identifié que des dizaines de ces pages de galerie étaient indexées comme non sécurisées. Nous avons fourni au client une liste directe de ces URL, permettant à leurs développeurs de mettre à jour les références de liens et d’appliquer une règle de redirection globale, ce qui a éliminé les erreurs de contenu mixte dans les deux semaines suivant le cycle d’exploration suivant.
Quels sont les risques d’ignorer le contenu mixte ?
Ignorer le contenu mixte conduit à des avertissements de navigateur qui découragent les visiteurs d’interagir avec votre site. Les navigateurs comme Chrome marquent les pages HTTP comme ‘Non sécurisées’, ce qui peut entraîner des taux de rebond plus élevés. De plus, les moteurs de recherche préfèrent HTTPS comme signal de classement, donc maintenir un index sécurisé est une exigence pour les performances modernes.
- Diminution de la confiance des utilisateurs due aux avertissements de sécurité persistants du navigateur.
- Perte de données de référence lorsque les utilisateurs passent de sites HTTPS à vos pages HTTP.
- Performances incohérentes dans les métriques de classement de recherche causées par des signaux de contenu dupliqué.
- Vulnérabilité accrue aux scripts intersites ou à l’interception de données sur les pages non chiffrées.
Ces problèmes ne sont pas seulement théoriques. Si un utilisateur arrive sur une page HTTP qui est censée être sécurisée, il peut voir un avertissement ‘La connexion n’est pas privée’. C’est un moyen de dissuasion immédiat qui pousse la plupart des utilisateurs à quitter le site instantanément. En recherchant régulièrement ces pages, vous empêchez ces expériences utilisateur négatives d’affecter la réputation de votre marque.
Par où commencer cette semaine
Commencez votre audit cette semaine en exécutant la commande de recherche ‘site:’ pour votre domaine. Créez une liste de chaque URL HTTP qui apparaît dans les résultats. Une fois que vous avez cette liste, mettez à jour les paramètres de votre serveur pour rediriger ces chemins spécifiques vers HTTPS. Si vous avez un grand site, concentrez-vous d’abord sur vos pages les plus performantes pour vous assurer que votre contenu le plus important est sécurisé immédiatement.
Après avoir mis en œuvre les redirections, vérifiez les changements en cliquant sur les anciens liens HTTP. Si votre serveur est correctement configuré, vous devriez être automatiquement redirigé vers la version HTTPS. Tenez un journal de vos découvertes et relancez l’opérateur de recherche dans sept jours pour confirmer que Google a commencé à supprimer les versions non sécurisées de son index.