Comment avoir HTTPS sur WordPress : guide complet pour sécuriser votre site

Sommaire de l'article

Introduction

Sécuriser son site WordPress est aujourd’hui indispensable, quel que soit le type de projet (blog, site vitrine, e‑commerce ou plateforme d’entreprise). Le protocole HTTPS, associé à un certificat SSL/TLS, protège les données échangées entre le navigateur de vos visiteurs et votre serveur, renforce la confiance des utilisateurs et améliore la visibilité de votre site dans les moteurs de recherche.

Passer votre site en HTTPS WordPress consiste principalement à installer et configurer correctement un certificat SSL, à forcer la redirection HTTP vers HTTPS, puis à vérifier l’absence de contenu mixte (ressources chargées en HTTP). Ce guide détaillé vous explique étape par étape comment avoir HTTPS sur WordPress, que vous soyez débutant ou utilisateur avancé.

Nous verrons successivement :

les concepts clés (SSL, TLS, HTTPS, sécurité WordPress) ;
les différents types de certificats SSL et comment choisir ;
les étapes concrètes pour configurer HTTPS sur WordPress (avec ou sans plugin) ;
les bonnes pratiques pour la performance et la sécurité ;
les outils indispensables pour surveiller et maintenir votre site en HTTPS.

Concepts clés pour comprendre HTTPS WordPress

Avant de modifier votre site, il est essentiel de comprendre quelques notions fondamentales afin de faire les bons choix techniques et d’éviter les erreurs de configuration.

Qu’est-ce qu’un certificat SSL/TLS WordPress ?

Le protocole SSL (Secure Sockets Layer) et sa version plus récente TLS (Transport Layer Security) sont des protocoles de chiffrement qui sécurisent les données échangées entre le navigateur d’un utilisateur et un serveur web. En pratique, on parle encore couramment de « certificat SSL », mais ce sont aujourd’hui les versions de TLS qui sont utilisées.

Un certificat SSL/TLS pour WordPress permet :

de chiffrer les données (mots de passe, informations personnelles, données de paiement, formulaires) ;
de vérifier l’authenticité du site (l’utilisateur sait qu’il communique avec le bon serveur) ;
d’afficher le cadenas dans la barre d’adresse du navigateur, avec l’URL commençant par https://.

Les principaux types de certificats SSL

Il existe plusieurs catégories de certificats SSL/TLS, chacun répondant à des besoins différents :

Certificat SSL gratuit (DV – Domain Validation) : délivré après vérification du contrôle du nom de domaine. C’est généralement suffisant pour un blog, un site vitrine ou un site d’entreprise standard. Des autorités comme Let’s Encrypt proposent ce type de certificat gratuit, souvent directement intégré chez de nombreux hébergeurs.
Certificat SSL payant DV : similaire au certificat gratuit en termes de niveau de chiffrement, mais proposé avec un support commercial, une garantie financière et des options supplémentaires suivant les fournisseurs (par exemple Sectigo, DigiCert, GlobalSign, etc.).
Certificat OV (Organization Validation) : l’autorité de certification vérifie aussi l’existence de l’organisation (entreprise, association, etc.). Cela ajoute une couche de confiance pour les visiteurs professionnels.
Certificat EV (Extended Validation) : implique un processus de vérification approfondi de l’entité juridique. Il est souvent recommandé pour les grandes entreprises et certains sites financiers, même si l’affichage visuel dans les navigateurs a évolué au fil des années.
Certificat Wildcard : protège un domaine et tous ses sous-domaines de premier niveau (par exemple *.example.com). Très utile si vous avez plusieurs sous‑domaines WordPress ou des services associés.
Certificat multi-domaine (SAN) : permet de sécuriser plusieurs noms de domaine ou sous-domaines différents avec un seul certificat.

Pour la plupart des sites WordPress classiques, un certificat DV gratuit Let’s Encrypt est largement suffisant. Les certificats OV ou EV deviennent pertinents lorsque l’image de marque, la conformité ou la gestion de risques juridiques exigent un niveau de vérification plus élevé.

TLS WordPress et versions recommandées

Le terme SSL est devenu un abus de langage : ce sont principalement les versions modernes de TLS qui sont utilisées aujourd’hui. Pour sécuriser correctement votre site :

assurez-vous que votre serveur supporte TLS 1.2 au minimum ;
idéalement, activez également TLS 1.3 si votre hébergeur le propose, afin d’optimiser la sécurité et la performance ;
désactivez les versions obsolètes (comme TLS 1.0 et 1.1) si vous en avez la possibilité dans la configuration serveur.

La plupart des hébergements mutualisés récents activent par défaut les versions modernes de TLS, mais il reste important de vérifier dans la documentation de votre hébergeur ou via un outil de test SSL en ligne.

HTTPS WordPress et SEO

Le passage à HTTPS ne sert pas uniquement à la sécurité :

les moteurs de recherche prennent en compte la présence du protocole HTTPS comme un signal de confiance ;
le cadenas et la mention « sécurisé » rassurent vos visiteurs et peuvent améliorer votre taux de conversion (inscriptions, achats, demandes de devis, etc.) ;
les navigateurs modernes affichent souvent un avertissement ou un libellé « Non sécurisé » lorsque le site n’utilise que HTTP, ce qui peut faire fuir les utilisateurs.

Passer à HTTPS WordPress est donc une étape stratégique pour la visibilité, la confiance et la performance globale de votre présence en ligne.

Sécurité WordPress globale

Activer HTTPS est un pilier de la sécurité, mais ce n’est pas suffisant à lui seul. Une bonne sécurité WordPress implique également :

l’utilisation d’un mot de passe fort (long, complexe, unique) pour tous les comptes administrateurs et éditeurs ;
l’activation de la double authentification (2FA) via un plugin adapté ;
l’installation d’un plugin de sécurité reconnu (par exemple Wordfence Security, iThemes Security, Sucuri Security, etc.) ;
la mise à jour régulière de WordPress, des thèmes et des extensions ;
une stratégie de sauvegardes automatisées (quotidiennes ou au minimum hebdomadaires) stockées hors du serveur principal ;
la limitation du nombre de plugins et l’usage uniquement d’extensions fiables et maintenues ;
la protection de la page de connexion (limitation des tentatives, CAPTCHA, changement éventuel de l’URL de connexion).

Préparer son site avant de passer en HTTPS

Une migration vers HTTPS WordPress se déroule mieux si quelques vérifications sont faites en amont.

Vérifier son hébergement et le certificat SSL

Commencez par consulter le panneau de contrôle de votre hébergeur :

vérifiez si un certificat SSL gratuit (par exemple Let’s Encrypt) est inclus dans votre offre ;
si ce n’est pas le cas, voyez les options de certificats payants ou la possibilité d’installer un certificat externe ;
assurez-vous que le certificat SSL est bien émis pour votre domaine et actif (pas expiré).

Sur la plupart des hébergements modernes, quelques clics suffisent pour activer un certificat SSL gratuit sur votre domaine principal.

Effectuer une sauvegarde complète

Avant toute modification importante, effectuez une sauvegarde complète (fichiers + base de données) de votre site. Vous pouvez utiliser :

un plugin de sauvegarde dédié (UpdraftPlus, BackupBuddy, etc.) ;
la fonction de sauvegarde proposée par votre hébergeur ;
ou un export manuel des fichiers via FTP et de la base via phpMyAdmin.

Cette étape vous permet de revenir en arrière en cas de mauvaise manipulation lors de la configuration HTTPS.

Préparer l’optimisation des performances

Le chiffrement TLS ajoute une légère charge au serveur, mais avec une bonne configuration, un site en HTTPS peut être aussi rapide, voire plus rapide qu’en HTTP. Pour cela :

mettez en place un système de cache (plugin de cache, module de mise en cache côté serveur) ;
activez la compression (GZIP ou Brotli selon l’hébergement) ;
réduisez la taille des images (compression, formats WebP ou AVIF si possible) ;
limitez le nombre de requêtes externes (scripts, polices, iframes chargés depuis d’autres domaines).

Étapes pour configurer HTTPS sur WordPress

Nous allons maintenant voir les étapes concrètes pour configurer HTTPS WordPress. La logique générale est toujours la même :

obtenir et activer un certificat SSL ;
indiquer à WordPress d’utiliser HTTPS ;
forcer la redirection de tout le trafic HTTP vers HTTPS ;
corriger le contenu mixte ;
mettre à jour les outils d’analyse et de suivi.

Étape 1 : Installer et activer un certificat SSL

Selon votre hébergeur, les démarches peuvent varier légèrement, mais la logique reste similaire :

connectez-vous à votre panneau d’hébergement (cPanel, Plesk, interface propriétaire, etc.) ;
accédez à la section SSL / TLS ou « Certificats SSL » ;
sélectionnez votre domaine WordPress ;
activez un certificat gratuit ou installez un certificat que vous avez acheté auprès d’une autorité de certification ;
une fois le certificat installé, vérifiez que https://votredomaine.tld affiche bien un cadenas sans avertissement majeur.

Étape 2 : Configurer WordPress pour utiliser HTTPS

Une fois le certificat opérationnel, il faut dire à WordPress que l’URL du site doit être en HTTPS.

2.1. Modifier l’URL du site dans l’admin WordPress

Connectez-vous à votre tableau de bord WordPress avec un compte administrateur, puis :

allez dans Réglages > Général ;
dans les champs Adresse web de WordPress (URL) et Adresse web du site (URL), remplacez http:// par https:// ;
cliquez sur Enregistrer les modifications.

WordPress va alors utiliser l’URL en HTTPS comme référence pour la génération des liens internes.

2.2. Configurer HTTPS via un plugin (méthode simple)

Pour les utilisateurs qui préfèrent une approche automatisée, l’utilisation d’un plugin de gestion SSL est une solution pratique. Le principe est le suivant :

installer et activer un plugin spécialisé (par exemple un plugin qui détecte automatiquement le certificat SSL et force l’utilisation d’HTTPS) ;
accéder à la page de configuration du plugin (souvent dans Réglages > SSL ou un menu dédié) ;
activer la redirection automatique de toutes les requêtes HTTP vers HTTPS ;
laisser le plugin analyser les contenus afin de corriger les URL internes encore en HTTP (images, scripts, feuilles de style).

Ce type de plugin est particulièrement utile pour gérer les problèmes de contenu mixte et pour accompagner les administrateurs peu à l’aise avec les fichiers de configuration serveur.

2.3. Configurer HTTPS manuellement (méthode avancée)

Si vous préférez contrôler précisément la configuration ou si vous ne souhaitez pas ajouter de plugin supplémentaire, vous pouvez tout faire manuellement.

Les grandes étapes sont :

mettre à jour les URL du site en HTTPS dans les Réglages généraux de WordPress (comme vu plus haut) ;
ajouter une redirection 301 de HTTP vers HTTPS dans votre fichier .htaccess (si vous utilisez Apache) ou dans la configuration Nginx si votre serveur utilise Nginx ;
forcer l’utilisation de HTTPS dans l’interface d’administration via le fichier wp-config.php ;
corriger les liens absolus encore en HTTP dans la base de données ou le thème.

Étape 3 : Forcer la redirection HTTP vers HTTPS

Pour éviter le contenu dupliqué et garantir que tous vos visiteurs utilisent la version sécurisée du site, il est indispensable de mettre en place une redirection 301 de toutes les pages HTTP vers leur équivalent HTTPS.

3.1. Redirection via .htaccess (serveur Apache)

Si votre hébergeur utilise Apache, vous pouvez généralement gérer les redirections via le fichier .htaccess situé à la racine de votre installation WordPress.

Le principe est d’ajouter des règles de réécriture qui renvoient le trafic HTTP vers HTTPS. Assurez-vous de ne pas dupliquer d’autres règles existantes et de garder une copie de sauvegarde du fichier avant modification.

3.2. Redirection via la configuration Nginx

Si votre site est hébergé sur un serveur Nginx, la redirection se configure directement dans le fichier de configuration du serveur virtuel. Il faut alors définir un bloc serveur pour le port 80 qui redirige systématiquement vers la version HTTPS de votre domaine.

3.3. Redirection via un plugin WordPress

De nombreux administrateurs préfèrent gérer ces redirections au sein de WordPress via un plugin dédié (plugins de redirection ou plugins SSL). Ces extensions :

implémentent automatiquement des redirections 301 de HTTP vers HTTPS ;
permettent parfois de gérer d’autres redirections (changement de structure d’URL, redirections personnalisées, etc.) ;
fournissent souvent un journal des redirections et des erreurs 404.

Étape 4 : Corriger le contenu mixte

Un problème fréquent après le passage à HTTPS est le contenu mixte : certaines ressources (images, scripts, feuilles de style, iframes) sont encore chargées en HTTP alors que la page principale est en HTTPS. Les navigateurs peuvent alors :

afficher un avertissement « connexion partiellement sécurisée » ;
bloquer certaines ressources actives pour des raisons de sécurité ;
ne pas afficher le cadenas complet.

Pour corriger cela :

utilisez un plugin SSL capable de réécrire automatiquement les URL internes de HTTP vers HTTPS ;
recherchez dans votre base de données les anciennes URL en http://votredomaine.tld et remplacez-les par https://votredomaine.tld (en utilisant un outil de recherche/remplacement adapté à WordPress) ;
vérifiez votre thème et vos plugins pour repérer les URL codées en dur (notamment dans les fichiers de template) ;
remplacez progressivement toutes les ressources externes chargées en HTTP par des versions HTTPS lorsque c’est possible.

Étape 5 : Sécuriser l’administration WordPress en HTTPS

Outre le front‑end, il est important de forcer l’utilisation de HTTPS pour l’interface d’administration et la page de connexion WordPress.

Pour cela, vous pouvez ajouter une constante spécifique dans le fichier wp-config.php. Le principe est de demander à WordPress de toujours charger le tableau de bord et les pages de connexion via HTTPS lorsque le certificat est correctement configuré sur le serveur.

Étape 6 : Mettre à jour Google Search Console et Google Analytics

Une fois la migration vers HTTPS WordPress terminée, mettez à jour vos outils de suivi :

Google Search Console : ajoutez la nouvelle propriété en HTTPS si nécessaire, vérifiez que le sitemap est bien accessible en HTTPS et surveillez les éventuelles erreurs d’exploration ;
Google Analytics (ou autre outil d’analyse) : vérifiez que l’URL de propriété ou de vue correspond bien à la version HTTPS du site ;
mettez à jour tous les liens externes que vous contrôlez (profils réseaux sociaux, fiches annuaires, campagnes e‑mail, etc.) en orientant vers https:// plutôt que http://.

Bonnes pratiques pour un HTTPS WordPress performant

Optimiser les performances après la migration HTTPS

Une fois votre site en HTTPS, optimisez son temps de chargement afin d’offrir une meilleure expérience utilisateur et de renforcer vos performances SEO.

Réduire le poids des images : compressez systématiquement les images avant de les envoyer sur WordPress. Utilisez des formats modernes (WebP, AVIF) si votre hébergeur et vos plugins les supportent.
Mettre en place le chargement différé (lazy load) des images et des iframes afin de ne charger que ce qui est visible à l’écran.
Optimiser les scripts et feuilles de style : minifiez le CSS et le JavaScript, combinez les fichiers lorsque cela est pertinent, et chargez les scripts non critiques de façon asynchrone ou différée.
Utiliser un CDN (Content Delivery Network) : un CDN distribue vos ressources statiques sur différents serveurs géographiques, ce qui réduit la latence et accélère l’accès au site pour les visiteurs éloignés de votre serveur principal.
Activer le cache navigateur : configurez des en‑têtes de cache pour les ressources statiques (images, CSS, JS) afin que les navigateurs ne les re‑téléchargent pas à chaque visite.

Améliorer la structure de votre site WordPress

La structure de votre site influence autant l’expérience utilisateur que le référencement naturel. Profitez de la migration HTTPS pour vérifier quelques éléments clés :

Arborescence logique : organisez vos pages et catégories de manière claire et cohérente (accueil, pages services, pages produits, blog, contact, etc.).
URLs lisibles : utilisez des permaliens simplifiés, contenant des mots‑clés pertinents et facilement compréhensibles par les internautes et les moteurs de recherche.
Menu de navigation cohérent : un menu clair, avec des intitulés explicites, facilite l’accès aux pages importantes et diminue le taux de rebond.
Fil d’Ariane : un fil d’Ariane bien configuré aide l’utilisateur à se repérer et permet aux moteurs de recherche de mieux comprendre la hiérarchie du site.

Créer et maintenir un contenu de qualité

Le passage à HTTPS WordPress doit s’accompagner d’un effort sur le contenu. La meilleure sécurité technique ne remplacera jamais un contenu utile et bien rédigé pour vos visiteurs.

Publier des articles pertinents et à forte valeur ajoutée : répondez aux questions de vos utilisateurs, proposez des tutoriels détaillés, des études de cas, des retours d’expérience.
Structurer vos contenus avec des titres (h2, h3), des listes et des paragraphes courts afin de faciliter la lecture sur mobile et ordinateur.
Intégrer des médias : images, vidéos explicatives, infographies, schémas, captures d’écran commentées améliorent la compréhension et l’engagement.
Mettre en place un blog ou une section actualités régulièrement mis à jour pour montrer que votre site est vivant et pour cibler de nouveaux mots‑clés de longue traîne.

Outils et ressources utiles pour HTTPS WordPress

Google Search Console

Google Search Console est un outil gratuit indispensable pour surveiller la santé de votre site dans les résultats de recherche Google. Dans le cadre de HTTPS :

il permet de vérifier la bonne indexation de la version HTTPS ;
il remonte les éventuelles erreurs d’exploration (pages introuvables, redirections incorrectes, etc.) ;
il peut signaler certains problèmes de sécurité détectés sur votre site (malware, pages suspectes, etc.).

Google Analytics (ou autre solution d’analyse)

Avec Google Analytics ou une solution alternative, vous pouvez suivre l’impact de la migration HTTPS sur :

le trafic global et par source (référencement naturel, réseaux sociaux, campagnes e‑mail, etc.) ;
le comportement des utilisateurs (taux de rebond, pages vues, durée de session) ;
les conversions (ventes, formulaires, inscriptions).

Pensez à vérifier que toutes les pages de suivi, événements et balises sont bien chargés en HTTPS afin d’éviter les avertissements de contenu mixte.

Certbot et Let’s Encrypt

Certbot est un outil open source qui simplifie l’obtention et le renouvellement automatique de certificats SSL/TLS gratuits auprès de Let’s Encrypt sur de nombreux serveurs. Il est particulièrement adapté si vous gérez vous‑même un serveur (VPS ou dédié) et que vous avez accès à la ligne de commande.

Ses avantages principaux :

génération automatique du certificat ;
configuration simplifiée d’Apache ou Nginx dans de nombreux cas ;
renouvellement automatique du certificat avant son expiration, ce qui évite les interruptions de service.

Plugins de sécurité WordPress

Après avoir mis en place HTTPS, complétez votre dispositif avec un plugin de sécurité. Parmi les fonctionnalités généralement proposées :

pare‑feu applicatif pour filtrer les requêtes malveillantes ;
analyse de fichiers à la recherche de signatures de malware ;
journalisation des connexions et des tentatives de connexion échouées ;
blocage automatique d’adresses IP suspectes ;
renforcement de certains réglages de sécurité WordPress (prévention de l’énumération des utilisateurs, masquage de certaines informations techniques, etc.).

Couplé à HTTPS, un bon plugin de sécurité réduit significativement les risques pour votre site WordPress.

Outils de test SSL et performance

Enfin, plusieurs outils en ligne vous permettent de vérifier la qualité de votre configuration HTTPS et les performances de votre site :

tests de configuration SSL/TLS pour vérifier la version de TLS, les suites de chiffrement, la validité du certificat ;
outils d’analyse de performance qui indiquent le temps de chargement, le poids des pages, le nombre de requêtes et les axes d’optimisation ;
tests de compatibilité mobile pour s’assurer que votre site sécurisé reste parfaitement utilisable sur smartphone et tablette.

FAQ rapide sur HTTPS WordPress

Pourquoi mon site affiche‑t‑il encore « non sécurisé » après avoir activé HTTPS ?

Dans la majorité des cas, le cadenas n’apparaît pas à cause de contenu mixte (certaines ressources sont encore chargées en HTTP). Il faut alors corriger les URL des images, scripts, feuilles de style et iframes pour qu’elles utilisent toutes https://. Un plugin spécialisé et un outil de recherche/remplacement dans la base de données peuvent vous aider à résoudre rapidement ce problème.

Dois‑je passer absolument tout mon site en HTTPS ?

Oui, il est vivement recommandé de forcer l’utilisation d’HTTPS sur l’ensemble du site, et pas seulement sur la page de connexion ou les pages de paiement. De nombreux navigateurs et moteurs de recherche considèrent désormais le HTTPS comme la norme, et un site partiellement sécurisé peut générer de la confusion chez les visiteurs.

Le passage à HTTPS va‑t‑il faire baisser mon référencement ?

Lorsqu’il est bien réalisé (redirections 301 correctes, absence de contenu dupliqué, sitemaps mis à jour), le passage à HTTPS WordPress ne doit pas provoquer de chute durable de trafic. Dans certains cas, le gain en confiance et la meilleure perception de votre site par les moteurs de recherche peuvent même avoir un effet positif à moyen terme.

Faut‑il renouveler régulièrement le certificat SSL ?

Oui, un certificat SSL/TLS possède toujours une date d’expiration. Les certificats Let’s Encrypt sont par exemple émis pour une durée relativement courte, mais peuvent être renouvelés automatiquement. De nombreux hébergeurs gèrent ce renouvellement sans intervention de votre part, mais il est prudent de vérifier périodiquement la date de validité de votre certificat pour éviter toute interruption.

Puis‑je repasser de HTTPS à HTTP si besoin ?

Techniquement, il est possible de revenir en arrière, mais cela est fortement déconseillé. Les navigateurs et les utilisateurs s’attendent désormais à une connexion sécurisée, et un retour à HTTP enverrait un signal négatif en termes de confiance et de sécurité. Il est préférable de corriger les éventuels problèmes rencontrés sous HTTPS plutôt que de supprimer cette protection.

Conclusion

Mettre en place HTTPS sur WordPress est une étape incontournable pour sécuriser votre site, protéger les données de vos utilisateurs et renforcer votre crédibilité en ligne. En suivant méthodiquement les étapes présentées dans ce guide — installation du certificat SSL, configuration de WordPress, mise en place des redirections, correction du contenu mixte, optimisation des performances et surveillance continue — vous obtenez un site plus sûr, plus professionnel et mieux armé pour réussir sur le long terme.