Un site sans HTTPS affiche un avertissement dans la plupart des navigateurs et expose les mots de passe de connexion. Passer WordPress en HTTPS est une opération courte, à condition de la faire dans le bon ordre.
Voici les étapes que je suis, de l’installation du certificat jusqu’aux vérifications finales.
Qu’est-ce que le HTTPS ?
Le HTTPS est la version chiffrée du protocole http. Un certificat installé sur le serveur permet de chiffrer les échanges entre le navigateur du visiteur et votre site.
La page officielle des prérequis demande que votre hébergeur prenne en charge le HTTPS. La documentation de WordPress le recommande fortement.
Comment activer le certificat HTTPS ?
Le certificat s’active chez votre hébergeur, dans son panneau de gestion, souvent en un clic. D’après la documentation officielle, le certificat doit être installé et disponible sur le serveur avant tout autre réglage.
Vérifiez que l’adresse en https ouvre bien votre site dans le navigateur, sans message d’alerte. Si ce n’est pas le cas, ne touchez pas encore à WordPress.
Certains certificats gratuits se renouvellent seuls, d’autres demandent une action. Notez la date d’expiration, car un certificat périmé affiche une alerte plus grave que l’absence de HTTPS.
Que faire avant de changer les adresses du site ?
Faites une sauvegarde complète des fichiers et de la base de données. Un mauvais réglage d’adresse peut vous empêcher de vous connecter à l’administration.
Mon guide pour sauvegarder un site WordPress détaille la méthode. Notez aussi l’adresse actuelle des deux champs, pour pouvoir les remettre si besoin.
Comment changer les adresses dans WordPress ?
- Ouvrez Réglages > Général dans l’administration.
- Remplacez http par https dans « Adresse web de WordPress (URL) ».
- Faites la même chose dans « Adresse web du site (URL) ».
- Enregistrez, puis reconnectez-vous si WordPress vous le demande.
La capture montre ces deux champs sur un site déjà en https. Dans un cas simple, les deux adresses restent identiques.
Comment rediriger l’ancien http vers le https ?
Une redirection permanente envoie automatiquement les visiteurs et Google de l’ancienne adresse vers la nouvelle. Sans elle, vous gardez deux versions du site, ce qui divise la visibilité.
La redirection se règle chez l’hébergeur ou dans le fichier de configuration du serveur. Certains hébergeurs et extensions de sécurité proposent une option dédiée, plus simple qu’une règle écrite à la main.
Testez ensuite en tapant l’ancienne adresse dans le navigateur : vous devez arriver sur la version https, sur la même page. Vérifiez aussi une adresse profonde, pas seulement la page d’accueil.
Comment corriger les contenus mixtes ?
Un contenu mixte apparaît quand une page en https charge encore une image, un script ou une feuille de style en http. Le navigateur affiche alors un cadenas barré ou bloque l’élément.
| Symptôme | Cause fréquente | Correction |
|---|---|---|
| Cadenas barré | Image en http dans un article | Remplacer l’adresse par la version https |
| Mise en page cassée | Feuille de style chargée en http | Corriger l’adresse dans le thème ou l’extension |
| Formulaire bloqué | Script en http | Mettre à jour l’extension concernée |
| Ancien logo en http | Adresse enregistrée en base | Remplacer les adresses dans la base |
Ouvrez la console de votre navigateur : elle liste chaque ressource bloquée. Une extension de remplacement dans la base peut aider, à utiliser avec une sauvegarde.
Comment chiffrer la connexion à l’administration ?
La documentation indique d’ajouter la constante FORCE_SSL_ADMIN avec la valeur vrai dans le fichier wp-config.php. Elle impose le chiffrement des connexions et de l’administration.
L’ancien réglage FORCE_SSL_LOGIN est obsolète depuis la version 4.0. Elle précise aussi que ce réglage ne protège pas contre tous les risques, donc gardez un mot de passe solide.
Que vérifier après le passage en HTTPS ?
- Le cadenas s’affiche sur la page d’accueil, une page d’article et le panier si vous vendez.
- La redirection fonctionne depuis l’ancienne adresse http.
- Le plan de site utilise les adresses https, comme dans mon guide sur le plan de site WordPress.
- La Search Console contient une propriété pour la version https du site.
Si un proxy ou un CDN chiffre les échanges devant votre hébergeur, la documentation signale un risque de boucle de redirection. Il faut alors indiquer à WordPress que la connexion d’origine est sécurisée.
Quand faire appel à un professionnel ?
Faites-vous aider si le site boucle sur des redirections, si l’administration est devenue inaccessible ou si des dizaines de pages affichent un contenu mixte. Je règle ces cas avec le service de maintenance WordPress.
Et maintenant ?
Ce que vous pouvez faire dès aujourd’hui :
- Ouvrez votre site dans le navigateur et regardez si le cadenas s’affiche sur la page d’accueil.
- Notez dans un fichier les deux adresses actuelles de Réglages > Général avant tout changement.
- Demandez à votre hébergeur si le certificat est actif et comment forcer la redirection vers le https.
Pour aller plus loin : Maintenance WordPress
