Comment l'affichage du contenu mixte va-t-il évoluer dans Chrome selon les dernières annonces de Google ?

Posté par : CodeJester - le le 28 Mars 2025

CodeJester :

Hello les devs, Je me demandais, avec les nouvelles directives de Google concernant le contenu mixte (HTTPS et HTTP sur la même page), comment vous voyez l'avenir de l'affichage de ce type de contenu dans Chrome ? 🤔 Est-ce que vous pensez que Google va devenir encore plus strict et bloquer carrément le contenu HTTP, ou est-ce qu'ils vont opter pour une approche plus progressive avec des avertissements plus insistants ? Je suis curieuse de connaître vos avis et vos stratégies pour gérer ça. 🤓

Commentaires (10)

PixelNomad48 :

C'est une question que je me pose aussi pas mal, surtout pour les sites de mes clients qui ont des CMS un peu datés... Va falloir se pencher sérieusement sur la question du passage en https forcé, et vite. En parlant de CMS, vous utilisez quoi principalement ? Perso, je suis surtout sur WP et un peu de Prestashop. Sinon, pour revenir au sujet, j'imagine qu'ils vont durcir le ton progressivement, comme d'hab. Mais bon, Google nous surprend parfois...
CryptoSculptor :

Salut PixelNomad48, C'est clair que la migration vers HTTPS forcée devient une priorité, surtout avec Chrome qui serre la vis. Google a annoncé une approche graduelle, mais autant anticiper au maximum. Ils avaient mentionné la version 79 pour commencer l'implémentation progressive, et maintenant on en est à bien plus loin, donc on voit qu'ils avancent, mine de rien. Pour les CMS, je touche à un peu de tout, mais je suis plus souvent sur du Symfony pour des projets plus costauds et personnalisés. Ça permet une flexibilité énorme, même si la courbe d'apprentissage est un peu plus raide au début. Sinon, j'ai aussi pas mal de demandes sur du React ces derniers temps, surtout pour des applications web. C'est un peu différent d'un CMS classique, mais ça reste pertinent pour certains besoins. Concernant le durcissement du ton, je pense qu'ils vont surtout miser sur des avertissements de plus en plus visibles et intrusifs pour l'utilisateur. Ils avaient évoqué la possibilité de passer automatiquement en HTTPS si le site le permet, mais sinon bloquer le contenu HTTP. C'est une bonne approche pour inciter à la migration sans casser complètement l'expérience utilisateur d'un coup. 🤔 Ils parlent aussi de directives CSP (Content Security Policy) pour les développeurs. C'est un bon moyen de contrôler ce qui est chargé sur une page et d'éviter les contenus mixtes. C'est un peu technique, mais ça peut vraiment aider à sécuriser un site. 🔐 Perso, je suis en train de mettre en place un script pour scanner automatiquement les sites de mes clients et détecter les éventuels contenus mixtes. Ça me permettra de leur faire un rapport clair et de les aider à prioriser les corrections. Un peu de boulot de détective, mais ça vaut le coup ! 🕵️‍♂️
DataForge9 :

C'est une excellente initiative, ce script pour scanner les sites des clients. Un rapport clair, c'est la base pour justifier les actions de mise en conformité. Trop souvent, on néglige la communication sur ces aspects techniques, et c'est là que les problèmes commencent.
3yPMnH :

Merci DataForge9, c'est tout à fait ça. Faut vulgariser au max pour que le client comprenne l'enjeu.
CodeAlambic :

Je suis d'accord avec CryptoSculptor sur l'importance des CSP. Pour ceux qui débutent avec, je suggère de commencer petit à petit, en mode "report-only", pour voir ce qui serait bloqué avant de vraiment l'appliquer. Ca permet d'éviter de casser des trucs sans le vouloir. Y'a pas mal d'outils en ligne pour générer une base de CSP aussi.
Théo Rousseau :

Certes, les CSP c'est bien, mais c'est pas non plus la panacée universelle. Ça demande une maintenance régulière et une bonne compréhension du fonctionnement du site. Si le site est blindé de scripts tiers mal maîtrisés, ça peut vite devenir un enfer à gérer. Faut pas que ça devienne une usine à gaz non plus.
PixelNomad48 :

Complètement d'accord avec Théo Rousseau. Les CSP c'est super sur le papier, mais si t'as un site avec plein de scripts embarqués un peu partout, bonjour la galère pour débugguer et maintenir tout ça. Faut faire un audit sérieux avant de se lancer là-dedans, sinon c'est le crash assuré.
CodeJester :

Bon, petit retour sur mes interrogations initiales. J'ai finalement suivi le conseil de CodeAlambic et j'ai commencé à implémenter les CSP en mode 'report-only' sur quelques sites tests. Effectivement, ça permet de voir pas mal de choses sans tout casser direct. C'est assez instructif, même si Théo Rousseau et PixelNomad48 ont raison, ça peut vite devenir complexe si on a plein de scripts tiers. Va falloir que je fasse un tri sérieux avant de passer en mode blocage. Merci pour vos conseils !
TechnoVoyageur92 :

Content que mon conseil ait pu t'aider, CodeJester. C'est exactement l'approche que j'utilise aussi, et ça permet d'y aller en douceur. Bon courage pour le tri des scripts !
CodeJester :

C'est une bonne approche progressive, c'est certain. Mais je pense qu'il faut quand même garder en tête que le but final, c'est bien de bloquer, pas juste de reporter. Le mode 'report-only', c'est super pour diagnostiquer, mais faut pas que ça devienne une excuse pour ne rien faire. Faut se fixer un objectif de passage en mode blocage et s'y tenir, sinon, on repousse juste le problème.