Un site en HTTP affiche « Non sécurisé » dans la barre d'adresse de Chrome. Pour un visiteur, c'est un signal d'alerte ; pour vous, c'est peut-être une demande de contact en moins. Passer son site WordPress en HTTPS est devenu la norme. Voici pourquoi c'est indispensable, et comment le faire proprement, étape par étape.
HTTP et HTTPS : quelle différence ?
HTTP est le protocole qui transporte les pages entre le serveur et le navigateur. HTTPS en est la version sécurisée : les échanges sont chiffrés grâce à un certificat SSL/TLS. TLS est le nom actuel de la technologie, SSL l'ancien, toujours employé. Le certificat atteste aussi que le visiteur communique bien avec le serveur de votre domaine. Résultat : un mot de passe, un message envoyé par formulaire ou une adresse e-mail ne circulent plus en clair.
Pourquoi passer son site WordPress en HTTPS
La confiance des visiteurs
Depuis Chrome 68, sorti en juillet 2018, le navigateur de Google signale tous les sites en HTTP comme « non sécurisés » (blog Chromium). Face à cet avertissement, beaucoup de visiteurs quittent la page sans remplir le formulaire.
La protection des données de vos formulaires
Un formulaire de contact transmet des données personnelles : nom, e-mail, téléphone. La CNIL recommande de chiffrer les échanges avec le protocole TLS sur les sites qui collectent ces données (CNIL, sécuriser les sites web). Cette information est générale et ne remplace pas un conseil juridique adapté à votre situation.
Le référencement
Google utilise le HTTPS comme signal de classement depuis 2014, en le présentant comme un signal léger (Google Search Central). N'attendez pas de miracle : le contenu et la pertinence de vos pages pèsent bien plus. Mais un site en HTTP part avec un handicap de confiance que rien ne compense.
WordPress pousse dans le même sens
Depuis la version 5.7, l'écran Santé du site de WordPress propose de passer le site en HTTPS en un clic, quand l'hébergement fournit déjà un certificat (notes de version de WordPress 5.7).
Avant de commencer : les vérifications
- Une sauvegarde complète des fichiers et de la base de données, récente et restaurable.
- Un certificat SSL actif chez votre hébergeur. Beaucoup d'hébergeurs fournissent des certificats gratuits Let's Encrypt, renouvelés automatiquement.
- Vos accès : administration WordPress, espace client de l'hébergeur et, si possible, FTP.
- La liste de vos outils : Search Console, statistiques, réseau de diffusion (CDN), liens dans vos e-mails et sur vos réseaux sociaux.
Comment passer WordPress de HTTP à HTTPS, étape par étape
1. Activer le certificat SSL
Dans l'espace client de votre hébergeur, activez le certificat pour votre domaine, avec et sans www. Vérifiez ensuite que https://votredomaine.fr s'ouvre bien, avec le cadenas dans la barre d'adresse.
2. Changer les adresses dans WordPress
Dans Réglages, puis Général, remplacez http:// par https:// dans « Adresse web de WordPress (URL) » et « Adresse web du site (URL) ». Sur un WordPress récent, l'outil Santé du site peut faire ce changement pour vous. Vous serez déconnecté : reconnectez-vous en HTTPS.
3. Rediriger tout le HTTP vers le HTTPS en 301
Chaque ancienne adresse en http:// doit renvoyer vers la même adresse en https:// par une redirection permanente (301). Elle se règle chez l'hébergeur, souvent par une simple option, ou dans le fichier .htaccess du serveur. Choisissez aussi une seule version, avec ou sans www, et redirigez l'autre. Google recommande des redirections permanentes lors d'un changement d'adresses (Google Search Central).
4. Corriger le contenu mixte
Le contenu mixte, ce sont des images, des scripts ou des feuilles de style encore appelés en http:// sur une page en https://. Le navigateur peut les bloquer ou retirer le cadenas. Après la sauvegarde, remplacez les anciennes adresses dans la base de données avec un outil de recherche et remplacement adapté à WordPress, qui respecte le format de ses données. Contrôlez ensuite vos pages dans les outils de développement du navigateur, onglet Console.
5. Mettre à jour vos outils
- la Search Console : ajoutez une propriété de domaine, qui couvre HTTP et HTTPS, et renvoyez le plan du site ;
- vos outils de statistiques ;
- vos liens sur votre fiche Google Business Profile, vos réseaux sociaux, vos signatures d'e-mail et les annuaires où vous figurez.
6. Surveiller les semaines suivantes
Suivez le rapport Pages de la Search Console et les erreurs 404. Des positions peuvent fluctuer le temps que Google prenne en compte les nouvelles adresses : des redirections complètes et un suivi attentif limitent les pertes de visibilité.
Les erreurs fréquentes
- Une boucle de redirection, souvent quand un CDN ou un proxy fournit le HTTPS sans que WordPress le sache. La documentation officielle de WordPress décrit ce cas et sa correction.
- Un certificat qui ne couvre pas la version avec www.
- Des redirections temporaires (302) au lieu de permanentes (301).
- Une extension de redirection HTTPS laissée active alors que le serveur redirige déjà.
- Des liens internes écrits en dur en http:// dans les menus, les widgets ou le thème.
Faire soi-même ou se faire accompagner ?
Sur un petit site récent, la bascule est rapide si l'hébergeur fournit le certificat. Sur un site ancien, avec beaucoup de contenus et d'extensions, mieux vaut la confier à quelqu'un qui en a l'habitude, idéalement dans le cadre d'un suivi régulier comme les prestations de maintenance WordPress proposées par des spécialistes.
Pour les sites que je crée, le paramétrage de l'hébergement est compris dans la création de site vitrine WordPress. Les tâches qui suivent la mise en ligne sont détaillées dans mon article sur la maintenance WordPress, et le choix de l'hébergeur dans choisir son hébergement WordPress. Pour comparer avec la solution où l'hébergement est intégré, voyez ma page hébergement d'un site vitrine.
Questions fréquentes
Le certificat SSL est-il payant ?
Pas forcément. Les certificats Let's Encrypt sont gratuits et beaucoup d'hébergeurs les installent pour vous. Des certificats payants existent, avec une vérification plus poussée de l'identité de l'entreprise, mais le chiffrement apporté est le même pour un site vitrine.
Le passage en HTTPS fait-il perdre du référencement ?
Avec une redirection 301 pour chaque ancienne adresse, Google reporte les signaux sur les nouvelles adresses. Des fluctuations passagères sont possibles ; un oubli de redirections, en revanche, peut coûter cher en visibilité.
Faut-il une extension pour passer WordPress en HTTPS ?
Non, ce n'est pas obligatoire. Les réglages de WordPress, une redirection chez l'hébergeur et la correction du contenu mixte suffisent. Une extension peut aider sur un site complexe, à condition de ne pas doubler les redirections.
