Vous le savez sans doute déjà : aujourd'hui, un site Internet qui reste en HTTP n'est plus tenable. Les navigateurs affichent un avertissement peu rassurant sur les pages non sécurisées, les internautes reculent devant la mention « non sécurisé » dans la barre d'adresse, et les moteurs de recherche accordent depuis longtemps une préférence aux adresses chiffrées. Si, comme moi, vous utilisez WordPress au quotidien, vous êtes forcément confronté à cette étape de bascule vers le HTTPS. Dans cet article, je vous accompagne pas à pas pour réaliser cette migration en douceur, avec ou sans plugin, en évitant les pièges classiques que sont le contenu mixte et le contenu dupliqué. Je vous explique la logique, la procédure complète, les outils que j'utilise réellement, et la manière de contrôler que tout est bien en place ensuite.
Pourquoi passer votre site WordPress du HTTP au HTTPS
Avant de mettre les mains dans le cambouis, je tiens à clarifier ce que recouvre concrètement ce passage. Le HTTPS n'est rien d'autre que le protocole HTTP habituel, mais couplé à une couche de chiffrement fournie par un certificat SSL/TLS. Lorsqu'un visiteur consulte votre page, les données qui transitent entre son navigateur et votre serveur sont chiffrées. Cela empêche un tiers d'intercepter ou de modifier ces échanges. Sur un site vitrine, on pourrait croire l'enjeu limité, mais dès qu'un formulaire de contact, une zone de connexion ou un paiement entre en jeu, la sécurité devient indispensable.
Au-delà de la sécurité pure, plusieurs raisons me poussent à recommander cette migration à toutes les personnes que je forme :
- La confiance des internautes : le petit cadenas dans la barre d'adresse rassure, tandis que la mention « non sécurisé » fait fuir. C'est un signal visuel qui pèse sur le taux de rebond et sur les conversions.
- Le référencement naturel : le HTTPS est considéré depuis plusieurs années comme un critère favorable par les moteurs. À qualité de contenu égale, un site chiffré part avec un léger avantage.
- L'accès aux technologies modernes : de nombreuses fonctionnalités du web récent, comme la géolocalisation, les notifications ou le protocole HTTP/2, exigent une connexion sécurisée pour fonctionner.
- La protection de vos utilisateurs connectés : sur WordPress, l'espace d'administration transmet des identifiants. En HTTP simple, ces informations circulent en clair, ce que je considère comme un risque inacceptable.
En clair, il ne s'agit pas d'un caprice technique mais d'un socle devenu indispensable. Reste que modifier l'ensemble de vos URLs n'est jamais anodin. Des risques d'affichages non sécurisés, de contenu mixte et, pire encore, de contenu dupliqué sont susceptibles de survenir si vous ne suivez pas une méthode rigoureuse. C'est précisément pour cela que je vous propose une check-list précise plutôt qu'une manipulation à l'aveugle.
Obtenir et installer votre certificat SSL
La toute première étape se joue chez votre hébergeur. Généralement, on se tourne vers son prestataire favori pour trouver le certificat SSL qui convient. Depuis plusieurs années, une solution gratuite s'est imposée dans le paysage : il s'agit de Let's Encrypt. Si certaines personnes ont rencontré des difficultés pour l'installer, notamment sur des hébergements mutualisés, la mise en pratique s'est nettement simplifiée. La plupart des offres proposent aujourd'hui l'activation du certificat en quelques clics depuis le panneau de gestion.
Vous avez schématiquement le choix entre plusieurs types de certificats. Voici comment je les distingue pour aider mes stagiaires à choisir sereinement :
| Type de certificat | Usage recommandé | Coût habituel | Validation |
|---|---|---|---|
| Domain Validation (DV) | Sites vitrines, blogs, petits sites WordPress | Gratuit avec Let's Encrypt | Contrôle du domaine uniquement |
| Organization Validation (OV) | Sites d'entreprise avec besoin de réassurance | Payant | Vérification de l'organisation |
| Extended Validation (EV) | Sites sensibles, transactions importantes | Payant, plus élevé | Vérification approfondie de l'entité |
| Wildcard | Domaine avec de nombreux sous-domaines | Variable selon l'autorité | Contrôle du domaine et des sous-domaines |
Pour la grande majorité des sites WordPress que j'accompagne, un certificat de type Domain Validation gratuit couvre parfaitement les besoins. Inutile de payer pour un niveau de validation supérieur si votre site ne traite pas directement des paiements bancaires sur ses propres serveurs. Une fois le certificat émis et actif sur votre hébergement, votre site répond en HTTPS, mais le travail est loin d'être terminé : il faut désormais indiquer à WordPress qu'il doit vivre en HTTPS.
Modifier les réglages de WordPress pour le HTTPS
Une fois le certificat en place, il vous faut vous rendre dans les réglages généraux de WordPress et procéder à la modification de deux champs essentiels : l'adresse web de WordPress et l'adresse web du site. Ces deux valeurs doivent basculer de http:// vers https://. Faites bien attention à ne pas oublier le « s » sur chacun des deux champs, sous peine d'obtenir un joli phénomène de page blanche, voire une boucle de redirection qui vous verrouille l'accès à l'administration.
Je conseille toujours de réaliser une sauvegarde complète du site, base de données comprise, avant de toucher à ces réglages. Une migration bien préparée est une migration réversible : si un problème surgit, vous devez pouvoir revenir en arrière en quelques minutes plutôt que de reconstruire dans l'urgence.
Une fois ces deux champs corrigés, vous êtes techniquement en HTTPS, mais vous risquez de vous retrouver avec du contenu mixte. Le contenu mixte, ou mixed content, c'est finalement assez simple à comprendre : dans chacune de vos pages, vous avez créé au fil du temps des liens internes, chargé des images, des scripts ou des feuilles de style dont l'adresse reste en HTTP. Le navigateur, voyant une page sécurisée qui appelle des ressources non sécurisées, affiche un avertissement et bloque parfois carrément ces ressources. Le cadenas disparaît alors, et tout l'intérêt de la migration s'effondre.
Comprendre les différentes formes de contenu mixte
Il existe deux grandes familles de contenu mixte, et je tiens à ce que vous les distinguiez car elles ne se traitent pas de la même façon :
- Le contenu mixte passif : il concerne les images, les fichiers audio ou vidéo chargés en HTTP. Le navigateur les affiche généralement, mais dégrade l'indicateur de sécurité.
- Le contenu mixte actif : il touche les scripts, les feuilles de style, les requêtes de données. Là, le navigateur bloque purement et simplement le chargement, ce qui peut casser la mise en page ou des fonctionnalités entières.
Ce sont surtout les liens internes codés en dur dans vos contenus, y compris les liens présents dans vos balises meta et vos données structurées, qui posent problème. Il faut donc les corriger en profondeur, dans la base de données, et pas seulement en surface.
La procédure de migration HTTPS pas à pas
Pour ne rien oublier, je vous propose la procédure complète que je suis systématiquement lorsque je fais basculer un site WordPress. Suivez ces étapes dans l'ordre, sans en sauter une seule :
- Sauvegardez l'intégralité du site : fichiers et base de données. C'est votre filet de sécurité. Ne commencez jamais sans cette étape.
- Activez le certificat SSL chez votre hébergeur : via Let's Encrypt ou l'offre de votre prestataire, et vérifiez qu'il est bien reconnu en tapant l'adresse en HTTPS dans votre navigateur.
- Modifiez les deux adresses dans les réglages généraux de WordPress : l'adresse de WordPress et l'adresse du site doivent passer en HTTPS.
- Remplacez les URLs internes dans la base de données : c'est le cœur du travail contre le contenu mixte. Vous devez remplacer toutes les occurrences de votre domaine en HTTP par la version HTTPS.
- Mettez en place la redirection permanente via le fichier HTACCESS : toute requête arrivant en HTTP doit être redirigée en 301 vers son équivalent HTTPS.
- Vérifiez le contenu mixte résiduel : à l'aide de la console de votre navigateur, page par page, en particulier sur les modèles réutilisés comme l'en-tête et le pied de page.
- Corrigez les outils tiers : Google Analytics, la Search Console, les régies publicitaires, les scripts externes doivent tous connaître votre nouvelle adresse.
- Soumettez un nouveau plan de site : générez un sitemap en HTTPS et déclarez-le auprès des moteurs de recherche.
- Surveillez l'indexation et les erreurs : pendant plusieurs semaines, gardez un œil sur les rapports de couverture et les liens cassés.
Cette liste peut sembler longue, mais chaque étape a son rôle. Sauter la redirection HTACCESS, par exemple, vous expose directement au contenu dupliqué, puisque vos pages resteront accessibles sous deux adresses distinctes. C'est le point sur lequel je reviens le plus souvent en formation.
Remplacer les URLs : à la main ou avec un outil
Pour corriger toutes ces adresses internes restées en HTTP, vous avez deux grandes approches. La première, la plus propre à mon sens, consiste à effectuer un remplacement direct et maîtrisé dans la base de données. Un outil comme Search-Replace-DB permet de parcourir l'ensemble des tables et de remplacer chaque occurrence de l'ancienne adresse par la nouvelle, tout en gérant correctement les données sérialisées, ce qu'un simple remplacement SQL brutal ne fait pas.
La seconde approche s'appuie sur des extensions. Avec l'essor de la communauté WordPress, on a vu surgir un grand nombre d'outils et de plugins destinés à éviter le contenu mixte automatiquement. Ils réécrivent les URLs à la volée au moment de l'affichage. C'est pratique, mais je préfère vous mettre en garde : plus vous multipliez les extensions dédiées à des fonctions de base, plus vous alourdissez votre installation et plus vous créez de points de fragilité.
Ma conviction de formateur est simple : je privilégie toujours une correction propre et définitive dans la base de données plutôt qu'une réécriture permanente à l'affichage. Un site allégé, dont les URLs sont réellement correctes en base, sera plus rapide et plus facile à maintenir dans la durée.
C'est d'autant plus vrai que vous avez probablement un grand nombre d'URLs en HTTP disséminées dans vos contenus. Pensez notamment aux adresses canoniques générées automatiquement par une extension de référencement, aux images de vos articles, ou encore aux liens insérés dans vos menus. Un remplacement en base traite l'ensemble d'un coup, là où une extension ne masque parfois qu'une partie du problème.
Configurer la redirection HTTP vers HTTPS via le HTACCESS
Une fois votre déclaration effectuée auprès de votre hébergeur, et si vous êtes sur un hébergement mutualisé, vous allez avoir besoin de passer par le fichier HTACCESS pour rediriger toutes vos anciennes adresses vers le HTTPS. Cette étape est capitale : sans elle, vos pages restent accessibles à la fois en HTTP et en HTTPS, ce qui crée mécaniquement du contenu dupliqué aux yeux des moteurs de recherche.
Le principe repose sur la réécriture d'URL, ce que l'on appelle l'URL Rewriting, généralement disponible sur les serveurs Linux des hébergeurs. L'objectif est de rédiger une règle qui force toute requête entrante en HTTP à repartir vers son équivalent HTTPS avec un code de redirection permanent 301. Le code 301 est essentiel : il indique aux moteurs que le déménagement est définitif et leur permet de transférer la valeur acquise par vos anciennes adresses vers les nouvelles.
Selon les hébergeurs, la manière d'exprimer cette règle peut varier légèrement, car tous ne détectent pas le protocole de la même façon derrière leurs serveurs mandataires. Il est donc parfois nécessaire d'adapter la condition de réécriture au comportement de votre environnement. Se limiter à modifier les réglages de WordPress sans mettre en place cette redirection serait insuffisant, et c'est précisément là que beaucoup de migrations échouent partiellement.
Éviter le contenu dupliqué et forcer le HTTPS
WordPress n'a pas toujours fait sa mue intégrale vers le HTTPS de manière automatique. Je vous recommande donc un test simple : sur l'une de vos pages internes, retirez volontairement le « s » du HTTPS dans la barre d'adresse. Si la page continue de s'afficher normalement en HTTP au lieu de vous rediriger vers la version sécurisée, vous avez un problème de contenu dupliqué à traiter.
Dans ce cas, vous disposez de plusieurs leviers complémentaires à la redirection HTACCESS :
- Ajouter une règle de forçage au niveau du thème : quelques lignes dans le fichier de fonctions du thème permettent d'imposer le HTTPS. L'inconvénient, c'est qu'il faut penser à les réécrire si vous changez de thème.
- Recourir à une extension correctrice très légère : si vous gérez de nombreux sites et souhaitez vous simplifier la vie, une extension du type http/https Remover ou Http to https forced url by Facem Web fait le travail sans alourdir inutilement l'installation. C'est l'une des rares exceptions où j'accepte volontiers d'ajouter un plugin, précisément parce qu'il reste indépendant du thème.
- Vérifier les canoniques : assurez-vous que les balises canoniques de vos pages pointent bien vers la version HTTPS, afin de désigner sans ambiguïté l'adresse de référence.
Ce ne sont finalement que quelques lignes à ajouter, mais elles font toute la différence entre un site qui bascule proprement et un site qui laisse traîner des doublons. L'avantage d'une extension légère et indépendante, c'est justement qu'elle survit à un changement de thème, là où une correction dans le fichier de fonctions disparaît avec l'ancien habillage.
Suivre l'évolution du passage au HTTPS
La migration ne s'arrête pas au moment où votre cadenas apparaît. Le suivi est une phase à part entière, souvent négligée, et pourtant déterminante pour préserver votre référencement. Voici comment je procède pour accompagner un site dans les semaines qui suivent la bascule.
Tournez-vous d'abord vers la Search Console. Je vous conseille de déclarer la nouvelle version en HTTPS comme une propriété à part entière, tout en conservant l'ancienne le temps de la transition. Vous pouvez ainsi soumettre des plans de site à la fois sur l'ancienne et la nouvelle version, et observer la migration de vos pages d'une propriété vers l'autre. Surveillez de près le rapport de couverture pour repérer d'éventuelles erreurs d'exploration ou pages exclues.
Pensez également à corriger les adresses configurées dans les outils de mesure d'audience que vous utilisez, à commencer par votre solution d'analyse statistique. Une adresse restée en HTTP dans ces réglages fausse vos données et peut interrompre le suivi. Vérifiez aussi les liens présents dans vos réseaux sociaux, vos signatures d'e-mail et vos éventuelles campagnes, afin qu'ils pointent tous vers la version sécurisée.
Voici les indicateurs que je surveille en priorité durant la phase de suivi :
- L'indexation des nouvelles URLs : les pages en HTTPS remplacent progressivement les anciennes dans les résultats de recherche.
- Les erreurs d'exploration : elles révèlent des liens cassés ou des redirections mal configurées.
- Le contenu mixte résiduel : un contrôle régulier de la console du navigateur permet de traquer les ressources oubliées.
- Le trafic et le positionnement : une baisse temporaire est possible le temps que les moteurs digèrent la migration, mais elle ne doit pas s'installer durablement.
Les bonnes pratiques pour pérenniser votre HTTPS
Une fois la bascule réussie, quelques réflexes vous éviteront de retomber dans les travers du HTTP. D'abord, prenez l'habitude de toujours insérer vos liens internes et vos médias en HTTPS, ou mieux, en adresses relatives lorsque c'est pertinent. Ensuite, pensez à renouveler votre certificat : les certificats gratuits ont une durée de validité courte et se renouvellent automatiquement dans la plupart des cas, mais un contrôle périodique ne fait jamais de mal.
Je vous encourage aussi à activer, une fois la migration parfaitement stable, un mécanisme qui force le navigateur à toujours utiliser le HTTPS pour votre domaine. Cette mesure renforce la sécurité et améliore légèrement les performances en supprimant une étape de redirection. Attention toutefois : ne l'activez qu'une fois certain que l'ensemble de votre site fonctionne sans faille en HTTPS, car elle est difficile à annuler rapidement.
Enfin, profitez de cette migration pour faire le ménage. C'est souvent l'occasion idéale de repérer les extensions inutiles, les scripts externes obsolètes et les liens morts qui traînent depuis des années. Un site propre, chiffré et allégé constitue un socle sain pour tout travail de référencement ultérieur.
En résumé : une migration maîtrisée plutôt que précipitée
Passer votre site WordPress du HTTP au HTTPS n'a rien d'insurmontable, à condition de suivre une méthode ordonnée. Retenez la logique d'ensemble : on obtient d'abord un certificat, on informe WordPress du changement, on corrige les adresses internes en profondeur, on met en place une redirection permanente, on force le HTTPS pour éliminer les doublons, puis on surveille attentivement l'indexation. Chacune de ces étapes protège la précédente, et c'est leur enchaînement qui garantit une migration sans casse.
Je préfère toujours une approche propre, qui corrige réellement les données en base et limite le recours aux extensions, à une solution rapide mais fragile. Le HTTPS n'est plus une option ni un luxe : c'est devenu un prérequis, au même titre que l'installation et la configuration correctes de WordPress. En prenant le temps de faire les choses dans l'ordre, vous offrez à vos visiteurs un site sûr, aux moteurs un signal favorable, et à vous-même une base technique saine sur laquelle bâtir sereinement la suite de votre stratégie de visibilité.
