Что означает «сайт не защищён»?

Пометка «не защищено» означает, что конкретный браузер в этот момент не видит корректного HTTPS-шифрования на открытой странице — это техническое сообщение о канале связи, а не диагноз «сайт взломан». У вас в Chrome может быть всё в порядке, а у клиента — открыта старая версия страницы из кэша, стоит расширение, вмешивающееся в соединение, или он зашёл по адресу без www, для которого сертификат не выпущен.

Первым делом попросите клиента обновить страницу с очисткой кэша (Ctrl+F5) и прислать точный адрес из строки браузера. Если предупреждение повторяется у нескольких человек и в разных браузерах, включая Яндекс Браузер, — тогда дело действительно в сертификате или в настройках сайта, а не в одном компьютере.

Проверить сертификат за минуту можно самостоятельно, вставив домен в сервис ssllabs.com/ssltest — он покажет срок действия, для каких вариантов адреса выписан сертификат и есть ли ошибки конфигурации. Отдельно стоит проверить, что в настройках CMS адрес сайта указан именно как https, а не http.

Игнорировать такие сообщения не стоит: часть посетителей закрывает страницу сразу, а форма на ней может отправлять данные по незашифрованному каналу. Если самостоятельно разобраться не выходит, это обычная задача для техподдержки хостинга или администратора сайта, а не повод для паники или переделки сайта.