Passer un site WordPress en HTTPS

Comment passer un site WordPress en HTTPS : Guide complet étape par étape

Introduction

Passer votre site WordPress de HTTP à HTTPS est une étape essentielle en 2025 pour sécuriser vos visiteurs, améliorer votre référencement naturel et respecter les standards actuels du web. Cette migration renforce la confiance des utilisateurs, protège les données sensibles et booste votre positionnement SEO grâce aux signaux positifs envoyés à Google. Ce guide exhaustif vous accompagne pas à pas pour effectuer cette transition sans perte de trafic ni dysfonctionnements, en intégrant les meilleures pratiques techniques de 2025.

Avec l'adoption massive du HTTPS par plus de 95 % des sites majeurs, ignorer cette migration expose votre site à des pénalités SEO et à des alertes de sécurité dans les navigateurs. Nous couvrons tous les aspects : installation du certificat SSL, configuration WordPress, redirections 301, correction du mixed content, mise en place de HSTS et vérifications post-migration. Prévoyez 1 à 2 heures pour un site standard, plus pour les gros volumes de contenu.

Concepts clés

Comprendre les bases techniques évite les erreurs courantes lors de la migration vers HTTPS sur WordPress.

L'importance du protocole HTTPS et du SSL/TLS

Le protocole HTTPS (HyperText Transfer Protocol Secure) succède au HTTP en ajoutant une couche de chiffrement via SSL/TLS (Secure Sockets Layer / Transport Layer Security). Contrairement au HTTP qui transmet les données en clair, HTTPS crypte les échanges entre le navigateur de l'utilisateur et votre serveur, protégeant mots de passe, formulaires de contact, paiements et données personnelles contre les interceptions.

En 2025, Google considère le HTTPS comme un critère de classement direct. Les sites sans HTTPS voient leur trafic organique chuter de 10 à 20 % en moyenne. De plus, les navigateurs comme Chrome affichent des avertissements "Non sécurisé" sur les pages HTTP, augmentant le taux de rebond jusqu'à 30 %.

Les certificats SSL/TLS

Un certificat SSL/TLS est un fichier numérique émis par une autorité de certification (CA) qui authentifie votre domaine et active le chiffrement. En 2025, optez pour des certificats gratuits comme ceux de Let's Encrypt, valides 90 jours et renouvelables automatiquement par la plupart des hébergeurs. Ces certificats couvrent un domaine unique (DV - Domain Validation) et suffisent pour 99 % des sites WordPress.

Pour les entreprises, des certificats EV (Extended Validation) avec barre verte sont disponibles mais non nécessaires pour le SEO. Vérifiez la compatibilité TLS 1.2 et 1.3 minimum, en désactivant les protocoles obsolètes comme SSLv3, TLS 1.0 et 1.1 pour une note A+ sur SSL Labs.

Prérequis avant la migration HTTPS

Avant de toucher à WordPress, validez ces prérequis pour éviter les interruptions de service.

• Sauvegarde complète : Utilisez un plugin comme UpdraftPlus ou Duplicator pour sauvegarder fichiers et base de données. Testez la restauration sur un site staging.
• Certificat SSL installé : Contactez votre hébergeur (OVH, IONOS, o2switch) pour activer Let's Encrypt via cPanel, Plesk ou leur dashboard. Attendez 15-30 minutes pour la propagation.
• Support serveur : Confirmez TLS 1.2+ et suites de chiffrement modernes (ECDHE + AES-GCM). Testez via SSL Labs.
• Site staging : Clonez votre site sur un sous-domaine (test.votresite.com) pour tester la migration sans impact production.
• Accès complet : FTP, base de données (phpMyAdmin), panneau hôte et registrar DNS.

Étapes détaillées pour passer WordPress en HTTPS

Suivez ces étapes dans l'ordre pour une migration fluide.

Étape 1 : Activer le certificat SSL côté hébergement

Dans le panneau de votre hébergeur, activez l'option "Force HTTPS" ou "Redirect HTTP to HTTPS". Cela configure les redirections globales au niveau serveur, prioritaire sur WordPress. Pour Apache, vérifiez le fichier .htaccess ; pour Nginx, modifiez la config serveur.

Étape 2 : Mettre à jour les URLs dans WordPress

Connectez-vous à l'administration WordPress. Allez dans Réglages → Général :

• Adresse WordPress (URL) : Remplacez http:// par https://
• Adresse du site (URL) : Idem, en choisissant www ou non-www comme version canonique.

Sauvegardez. Si le site devient inaccessible, éditez wp-config.php pour ajouter :

define('WP_HOME','https://votresite.com');
define('WP_SITEURL','https://votresite.com');

Étape 3 : Configurer les redirections 301 HTTP vers HTTPS

Ajoutez ce code dans .htaccess (racine du site) pour Apache :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Cela redirige toutes les variantes (www/non-www, avec/sans slash) en 301 permanente, préservant le jus SEO. Testez avec un outil comme Redirect Checker.

Étape 4 : Corriger le mixed content

Le mixed content (images/scripts en HTTP sur pages HTTPS) déclenche des blocages. Solutions :

• Plugin automatique : Installez Really Simple SSL (plus de 5 millions d'installations). Il détecte, corrige et active les redirections en un clic.
• Recherche/remplacement en base : Utilisez Better Search Replace pour changer toutes les occurrences http://votresite.com en https:// dans la base de données.
• Outils navigateur : Extension Why No Padlock? ou Console DevTools pour identifier les ressources fautives.

Étape 5 : Forcer HTTPS dans l'administration WordPress

Ajoutez dans wp-config.php (avant "/* C'est tout, ne touchez pas à ce qui suit ! */") :

define('FORCE_SSL_ADMIN', true);

Note : FORCE_SSL_LOGIN est déprécié depuis WordPress 4.0 ; n'utilisez plus cette constante.

Étape 6 : Implémenter HSTS pour une sécurité avancée

Après validation complète (note A+ SSL Labs), ajoutez l'en-tête HSTS (HTTP Strict Transport Security) dans .htaccess :

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

max-age=31536000 équivaut à 1 an. Soumettez votre domaine à hstspreload.org une fois stable.

Bonnes pratiques pour une migration réussie

Optimiser le contenu et les URLs

Remplacez tous les liens internes/externes en HTTPS. Utilisez un sitemap XML HTTPS et mettez à jour robots.txt pour autoriser l'indexation. Gérez les contenus dupliqués (HTTP/HTTPS) via 301 ou balises canonical.

Améliorer la structure technique

Consolidez www/non-www via .htaccess. Pour les multisites WordPress, configurez HTTPS au niveau réseau dans Super Admin → Réglages → Réseau.

Maintenir un contenu de qualité post-migration

Publiez régulièrement du contenu optimisé HTTPS pour consolider le SEO. Intégrez des schema.org pour booster les rich snippets.

Configuration avancée pour 2025

Pour une sécurité optimale :

• Désactivez protocoles obsolètes côté serveur.
• Activez OCSP Stapling et Certificate Transparency.
• Utilisez un CDN comme Cloudflare pour SSL gratuit et gestion HSTS.
• Purgez le cache (WP Rocket, LiteSpeed Cache) après changements.

Outils et plugins recommandés

• Google Search Console : Ajoutez la propriété HTTPS, soumettez sitemap.xml, surveillez erreurs 404 et indexation (prend 1-4 semaines).
• Google Analytics : Trackez trafic pré/post-migration via segments de dates.
• Really Simple SSL : Automatise 80 % de la migration (redirections, mixed content, admin SSL).
• SSL Insecure Content Fixer : Corrige liens non sécurisés en temps réel.
• Easy HTTPS Redirection : Alternative légère pour redirections.
• WP Migration plugins : Duplicator ou All-In-One WP Migration pour staging.
• SSL Labs et SecurityHeaders : Tests gratuits pour note A+.

Gestion des cas spécifiques

Multisites WordPress

Modifiez wp-config.php réseau et .htaccess pour couvrir sous-domaines/sous-répertoires. Testez chaque site individuellement.

Hébergements mutualisés vs VPS

Mutualisé : Tout via panneau hôte. VPS/dédié : Configurez Apache/Nginx manuellement.

Cloudflare ou CDN

Activez "Full SSL" ou "Strict" dans SSL/TLS. Flexible SSL suffit pour mixed content.

FAQ : Questions fréquentes sur la migration HTTPS WordPress

• P : Un certificat SSL payant est-il nécessaire ?
  R : Non, Let's Encrypt est gratuit, auto-renouvelable et suffisant pour la plupart des sites.
• P : Comment éviter les erreurs de redirection ?
  R : Utilisez redirections 301 serveur (.htaccess) plutôt que plugins pour la performance. Testez toutes variantes d'URLs.
• P : Combien de temps pour l'indexation Google HTTPS ?
  R : 1 à 4 semaines. Accélérez via Search Console (soumission sitemap, demande d'indexation).
• P : Que faire si mixed content persiste ?
  R : Plugin Really Simple SSL + recherche/remplacement SQL. Videz cache navigateur/serveur.
• P : HSTS est-il obligatoire ?
  R : Recommandé après validation, pour prévenir les attaques downgrade.
• P : Impact SEO de la migration ?
  R : Neutre à positif si redirections 301 correctes ; surveillez 2-3 mois.

Vérifications post-migration

Testez :

• Cadenas vert dans navigateurs (Chrome, Firefox, Safari).
• Pas d'erreurs console (F12).
• Redirections 301 via curl ou outils en ligne.
• Search Console : Ajoutez HTTPS, validez propriété, corrigez erreurs.
• Analytics : Pas de chute trafic.
• SSL Labs : Note A ou A+.

Si problème, rollback via sauvegarde.

Conclusion

Migrer votre site WordPress en HTTPS en 2025 est indispensable pour la sécurité, le SEO et l'expérience utilisateur. En suivant ce guide précis – sauvegarde, certificat SSL, URLs, redirections 301, mixed content et HSTS – vous sécurisez votre site sans downtime ni perte de ranking. Profitez des boosts SEO (jusqu'à 15 % de trafic en plus) et de la confiance accrue des visiteurs. Pour des sites complexes, envisagez un développeur. Partagez vos retours en commentaires !