Le compteur sur une page HTTPS
Un site en HTTPS montre un cadenas à ses visiteurs. Puis quelque chose venu d'un autre site est collé dans la page, et le cadenas disparaît — ou bien l'élément collé n'apparaît tout simplement pas.
Cela s'appelle du contenu mixte, et cela mérite dix minutes de compréhension parce que cela casse silencieusement beaucoup de vieux widgets intégrés.
Ce que font les navigateurs à ce sujet
Une page chargée en HTTPS n'est pas autorisée à charger discrètement des morceaux d'elle-même en HTTP non chiffré. Quelqu'un qui intercepte la connexion et qui peut modifier une requête d'image non chiffrée peut modifier ce que voient les visiteurs, si bien que le navigateur refuse de laisser les deux se mélanger.
Pour les images et les scripts, les navigateurs modernes font passer la requête en HTTPS d'eux-mêmes, ou la bloquent purement et simplement. Lequel des deux se produit dépend du navigateur et du type de ressource, et ni l'un ni l'autre n'est un résultat sur lequel bâtir quoi que ce soit.
Où en est Stats4U
C'est géré, à deux endroits. L'adresse du point d'accès de comptage est inscrite dans le script en HTTPS, si bien que chaque requête qu'il effectue est chiffrée, quelle que soit la façon dont la page qui l'a chargé a été servie. Et le serveur répond à toute requête HTTP simple par une redirection permanente vers HTTPS — vérifié au moment de la rédaction, aussi bien pour le script que pour l'image du compteur elle-même.
Un compteur intégré avec un extrait à jour ne cassera donc pas le cadenas, et il n'y a rien à configurer.
Le seul cas qui peut encore poser problème
Si quelqu'un a un jour copié le script du compteur directement dans le site au lieu d'y faire un lien — une habitude courante, et il existe encore des pages qui le font aujourd'hui — alors c'est une copie figée datant de cette époque qui tourne. Une copie suffisamment ancienne contient une adresse HTTP simple, et aucune correction de notre côté ne peut l'atteindre.
Deux minutes pour vérifier : dans le code source de la page, chercher http:// suivi de notre domaine. En cas de trouvaille, tout cet embed se remplace par un extrait actuel provenant de la page de statistiques.
Tant qu'à faire, mieux vaut faire un lien vers le script plutôt que d'en héberger une copie. Il existe un article séparé qui explique pourquoi, et cela s'applique à bien plus qu'aux compteurs.