Si vous avez déjà vu la mention « Non sécurisé » s’afficher à côté de l’adresse de votre site dans Chrome ou Firefox, vous savez déjà pourquoi passer son site WordPress en HTTPS n’est plus une option réservée aux boutiques en ligne. C’est devenu un standard que tout visiteur attend, même sur un simple blog ou une page de capture. Dans cet article, on démystifie ce que signifie concrètement le HTTPS, pourquoi il compte pour la confiance de vos visiteurs et pour votre référencement, et comment l’activer sur votre installation WordPress, étape par étape.
Qu’est-ce que le HTTPS, et en quoi diffère-t-il du HTTP ?
Le HTTP (HyperText Transfer Protocol) est le protocole qui permet à un navigateur de dialoguer avec le serveur qui héberge votre site WordPress : il transporte les pages, les images, les formulaires que vous envoyez. Problème : en HTTP simple, ces échanges circulent « en clair », c’est-à-dire qu’ils peuvent être interceptés et lus par un tiers mal intentionné sur le même réseau.
Le HTTPS (HyperText Transfer Protocol Secure) ajoute une couche de chiffrement à ce protocole, grâce à ce qu’on appelle un certificat SSL/TLS (SSL est l’ancien nom du protocole de chiffrement, remplacé techniquement par TLS, mais l’appellation « certificat SSL » reste la plus utilisée dans le langage courant, y compris chez la plupart des hébergeurs). Ce certificat chiffre les données échangées entre le navigateur du visiteur et votre serveur : un identifiant de connexion, une adresse email saisie dans un formulaire, ou le contenu d’un panier d’achat deviennent illisibles pour quiconque intercepterait le trafic. C’est ce certificat qui fait apparaître le petit cadenas à côté de votre adresse dans la barre du navigateur.
Passer son site WordPress en HTTPS : ce que ça change vraiment
Au-delà du cadenas rassurant, le passage en HTTPS a des conséquences concrètes sur votre site :
La confidentialité et la sécurité de vos visiteurs. Dès que votre site contient un formulaire (contact, newsletter, inscription), un espace membre, ou pire, une étape de paiement, le chiffrement HTTPS protège les informations saisies par vos visiteurs. C’est un minimum dès qu’on collecte la moindre donnée personnelle, et une obligation de fait si vous vendez en ligne.
La confiance perçue par vos visiteurs. Les navigateurs modernes (Chrome, Firefox, Edge) affichent désormais un avertissement « Non sécurisé » explicite pour tout site en HTTP simple dès qu’une page contient un formulaire. Pour un visiteur qui découvre votre blog ou votre offre pour la première fois, ce message suffit souvent à le faire fuir avant même d’avoir lu une ligne.
Le référencement naturel (SEO). Depuis plusieurs années, les moteurs de recherche, Google en tête, utilisent la présence du HTTPS comme un signal de classement parmi d’autres. Ce n’est pas le facteur le plus déterminant de votre SEO, mais c’est un prérequis technique de base : à contenu équivalent, un site en HTTPS est favorisé par rapport à un concurrent resté en HTTP.
Les performances. Contrairement à une idée reçue, le HTTPS n’alourdit pas votre site de façon perceptible sur un hébergement moderne. Il permet même d’activer certaines optimisations réseau (comme HTTP/2) qui ne fonctionnent qu’au-dessus d’une connexion chiffrée.
Obtenir un certificat SSL pour votre site WordPress
Bonne nouvelle : il n’est plus nécessaire d’acheter un certificat SSL coûteux auprès d’une autorité de certification commerciale. Depuis l’arrivée de Let’s Encrypt, une autorité de certification gratuite et reconnue par tous les navigateurs, la quasi-totalité des hébergeurs WordPress proposent désormais un certificat SSL gratuit, installé et renouvelé automatiquement depuis votre espace d’hébergement, en quelques clics.
Avant toute manipulation dans WordPress, commencez donc par vérifier dans l’espace client de votre hébergeur si un certificat SSL gratuit est déjà disponible ou activable pour votre nom de domaine. C’est l’étape la plus importante : sans certificat valide installé au niveau du serveur, aucune configuration dans WordPress ne pourra faire apparaître le cadenas.
Activer le HTTPS dans WordPress : la méthode avec un plugin
Une fois le certificat installé côté hébergeur, il faut indiquer à WordPress que toutes les adresses du site doivent désormais pointer vers la version https:// plutôt que http://. C’est l’étape où beaucoup d’utilisateurs se perdent, car elle implique de mettre à jour non seulement les réglages de WordPress, mais aussi toutes les anciennes URL enregistrées dans vos articles et pages au fil du temps.
Pour un utilisateur non-développeur, la solution la plus simple reste un plugin dédié à cette migration (par exemple Really Simple SSL, l’un des plus utilisés sur l’écosystème WordPress francophone, ce guide détaillé de WPBeginner sur l’activation du SSL et du HTTPS présente la méthode pas à pas) :
1. Installez et activez le plugin depuis Extensions > Ajouter.
2. Rendez-vous dans son écran de réglages (généralement une page « SSL » dédiée).
3. Activez le SSL : le plugin détecte automatiquement si un certificat valide est présent sur votre domaine, met à jour les adresses du site dans les réglages WordPress, et installe les redirections nécessaires pour que toute visite en HTTP soit automatiquement renvoyée vers la version HTTPS.
Gardez ensuite ce plugin actif en permanence : le désactiver après la migration peut faire réapparaître les erreurs de contenu mixte évoquées plus bas.
Activer le HTTPS manuellement, sans plugin
Si vous préférez éviter une extension supplémentaire, ou si votre hébergeur a déjà géré une partie de la redirection pour vous, la méthode manuelle reste possible :
1. Mettre à jour les adresses du site. Dans Réglages > Général, remplacez http:// par https:// dans les champs « Adresse WordPress (URL) » et « Adresse du site (URL) ».
2. Ajouter une redirection permanente. Sur un hébergement Apache, une redirection 301 ajoutée dans le fichier .htaccess renvoie automatiquement tout visiteur arrivant en HTTP vers la version HTTPS de la même page. Sur un serveur Nginx, cette redirection se configure directement dans le fichier de configuration du serveur, généralement avec l’aide de votre hébergeur.
3. Sécuriser l’administration avec FORCE_SSL_ADMIN. La documentation officielle de WordPress sur le HTTPS recommande d’ajouter la ligne define( 'FORCE_SSL_ADMIN', true ); dans le fichier wp-config.php, à la racine de votre installation. Cette constante force la connexion et toutes les sessions de l’espace d’administration à passer exclusivement par une connexion chiffrée, ce qui est essentiel puisque c’est justement là que transitent votre identifiant et votre mot de passe. Un ancien réglage, FORCE_SSL_LOGIN, existait pour ne sécuriser que l’écran de connexion : il est obsolète depuis WordPress 4.0, au profit de FORCE_SSL_ADMIN qui couvre tout l’espace d’administration.
Comme je l’ai dit plus haut, votre hébergeur est sensé avoir un ssl gratuit mis à votre disposition. Infomaniak, l’hébergeur que j’utilise a évidemment cet option (qui n’en est plus aujourd’hui, si vous êtes comme moi et que vous voulez ouvrir un lien dont votre navigateur vous averti qu’il n’est pas sécurité, vous ne l’ouvrez probablement pas, à moins de le connaître réellement). Pour en savoir plus sur le SSL d’infomaniak, cliquez sur le lien.
Corriger le contenu mixte après la migration
Une fois la bascule effectuée, un problème fréquent apparaît : certaines ressources de votre site (une image insérée il y a plusieurs mois, une vidéo intégrée, parfois un script d’un plugin) continuent de pointer vers une ancienne adresse en http:// codée en dur dans le contenu. Le navigateur affiche alors un avertissement de « contenu mixte », car la page mélange des éléments sécurisés et non sécurisés.
Pour corriger cela :
, Utilisez un plugin de recherche-remplacement dans la base de données pour remplacer systématiquement les anciennes adresses http://votredomaine.fr par leur équivalent https:// dans le contenu de vos articles et pages.
, Vérifiez les URL codées en dur directement dans les fichiers de votre thème, si vous y avez effectué des personnalisations.
. Pour une extension tierce qui continuerait à charger une ressource en HTTP, contactez son auteur plutôt que de modifier directement les fichiers du plugin, ce qui rendrait vos changements vulnérables à la prochaine mise à jour.
Ne pas oublier Google Search Console après la migration
À lire aussi : RGPD et formulaires WordPress
Foire aux questions
Le certificat SSL gratuit de mon hébergeur est-il aussi fiable qu’un certificat payant ?
Oui, pour l’immense majorité des sites. Un certificat Let’s Encrypt offre le même niveau de chiffrement qu’un certificat payant classique. Les certificats payants plus avancés (dits « à validation étendue ») ajoutent surtout une vérification approfondie de l’identité de l’entreprise, utile pour certains secteurs très réglementés, mais pas indispensable pour un blog ou une petite boutique.
Mon site va-t-il devenir plus lent après le passage en HTTPS ?
Non, pas de façon perceptible sur un hébergement WordPress actuel. Le HTTPS permet même d’activer des protocoles réseau plus rapides comme HTTP/2, qui compensent largement le coût du chiffrement.
Que se passe-t-il si je ne corrige pas le contenu mixte ?
Le cadenas peut disparaître ou s’afficher avec un avertissement dans la barre d’adresse, et certaines ressources (notamment des scripts) peuvent être bloquées par le navigateur, ce qui casse visuellement certaines parties de la page.
Dois-je garder le plugin de migration SSL actif indéfiniment ?
Oui si vous avez utilisé un plugin comme Really Simple SSL pour gérer la bascule : le désactiver peut faire réapparaître les redirections manquantes et les erreurs de contenu mixte qu’il corrigeait.
Le HTTPS protège-t-il mon site contre le piratage ou les tentatives d’intrusion ?
Non, ce n’est pas sa fonction. Le HTTPS chiffre les échanges entre le visiteur et le serveur, mais ne protège pas directement contre une faille de sécurité dans un thème ou une extension. C’est un sujet complémentaire, traité plus largement du côté des réflexes de sécurité à adopter sur un site WordPress.
Mon site utilise déjà un cadenas vert visible dans le navigateur : que dois-je vérifier en plus ?
Vérifiez que toutes les pages de votre site (pas seulement l’accueil) affichent bien le cadenas, et qu’aucune page ne redirige accidentellement un visiteur depuis une ancienne adresse en HTTP restée en circulation (un ancien lien partagé sur les réseaux sociaux, par exemple) sans passer par la redirection HTTPS.
Faut-il refaire cette migration si je change d’hébergeur ?
Le certificat SSL lui-même doit généralement être réinstallé ou réactivé chez le nouvel hébergeur, mais les réglages déjà en place dans WordPress (adresses du site, plugin de migration) n’ont normalement pas besoin d’être repris depuis le début.
Laisser un commentaire