Passer son site WordPress de HTTP à HTTPS sans rien casser

Un site encore en HTTP affiche « Non sécurisé » dans la barre d’adresse des navigateurs. Les visiteurs fuient, les formulaires inquiètent, et les moteurs de recherche préfèrent les pages chiffrées. La bonne nouvelle : la bascule vers HTTPS se fait en une heure si tu respectes l’ordre des étapes.

Avant de commencer, fais une sauvegarde complète, fichiers et base de données. Si tu n’en as pas, notre tutoriel pour installer UpdraftPlus te guide.

Étape 1 : obtenir un certificat SSL

Le certificat est ce qui permet au serveur de chiffrer les échanges. La plupart des hébergeurs proposent aujourd’hui un certificat gratuit Let’s Encrypt, qu’ils renouvellent automatiquement.

• Cherche dans ton espace client une rubrique du type « SSL », « Certificats » ou « Sécurité ».
• Active le certificat pour ton domaine et pour la variante avec www.
• Attends que l’état passe à « actif » (de quelques minutes à quelques heures selon l’hébergeur).

Teste ensuite https://ton-domaine.fr dans le navigateur. Si le cadenas apparaît, même avec une page mal affichée, le certificat fonctionne. Si ton hébergeur ne propose rien, c’est un signal pour choisir un autre hébergement.

Étape 2 : changer les adresses dans Réglages > Général

Dans l’administration, va dans Réglages > Général et remplace http:// par https:// dans les deux champs :

• Adresse web de WordPress (URL) ;
• Adresse web du site (URL).

Enregistre. WordPress te déconnecte : reconnecte-toi, cette fois en HTTPS.

Si ces champs sont grisés, c’est qu’ils sont forcés dans wp-config.php par les constantes WP_HOME et WP_SITEURL. Modifie-les directement dans ce fichier.

Selon ta version de WordPress et ta configuration, l’écran Outils > Santé du site peut aussi proposer un bouton pour passer le site en HTTPS une fois le certificat détecté. Il fait une partie du travail, mais ne remplace pas les étapes suivantes.

Étape 3 : remplacer les anciennes URL en base

Tes contenus contiennent encore des liens et des images en http://. WordPress les stocke en dur dans la base de données. Il faut donc les remplacer, avec un outil qui respecte les données sérialisées (un simple remplacement SQL peut corrompre les réglages des extensions).

Avec une extension

Une extension comme Better Search Replace fait l’affaire :

1. installe-la depuis Extensions > Ajouter ;
2. va dans Outils > Better Search Replace ;
3. cherche http://ton-domaine.fr et remplace par https://ton-domaine.fr ;
4. sélectionne toutes les tables ;
5. lance d’abord une simulation (case cochée par défaut) pour voir le nombre de remplacements ;
6. décoche la simulation et lance le remplacement réel.

Fais la même chose pour la variante avec www si ton site l’a utilisée. Tu peux désinstaller l’extension ensuite.

Avec WP-CLI

Si tu as un accès SSH, WP-CLI est plus rapide :

wp search-replace 'http://ton-domaine.fr' 'https://ton-domaine.fr' --all-tables --skip-columns=guid --dry-run

L’option --dry-run simule l’opération. Relance la commande sans elle pour appliquer. La colonne guid est souvent laissée de côté, car elle sert d’identifiant interne aux flux RSS. La documentation de la commande search-replace détaille toutes les options.

Étape 4 : rediriger HTTP vers HTTPS en 301

Les anciens liens, les favoris et les moteurs connaissent encore l’adresse en HTTP. Une redirection permanente (301) envoie tout ce trafic vers la bonne adresse et transmet la popularité acquise.

Sur un serveur Apache, ajoute en haut du fichier .htaccess, avant le bloc WordPress :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Sur Nginx, la redirection se règle dans la configuration du serveur, ce qui passe en général par l’hébergeur. Beaucoup de panneaux d’hébergement proposent aussi une simple case « Forcer HTTPS » : c’est l’option la plus sûre si elle existe.

Vérifie le résultat en tapant l’adresse en http:// : tu dois arriver sur la version https:// en un seul saut, sans boucle.

Étape 5 : chasser le contenu mixte

Le contenu mixte, c’est une page en HTTPS qui charge une ressource (image, script, police, iframe) en HTTP. Le navigateur bloque la ressource ou retire le cadenas.

Pour trouver les coupables :

• ouvre la page, puis les outils de développement du navigateur (touche F12), onglet Console : les avertissements « Mixed Content » indiquent l’URL fautive ;
• regarde les endroits que le remplacement en base n’a pas touchés : CSS du thème, fichiers d’un thème enfant, widgets codés en dur, réglages d’un constructeur de pages qui stocke ses données à part ;
• vide tous les caches (extension, hébergeur, CDN) avant de conclure.

Une extension de type « forcer le SSL » peut corriger à la volée, mais elle masque le problème au lieu de le régler. Mieux vaut corriger la source.

Étape 6 : prévenir Google

Dans la Search Console :

• si tu utilises une propriété de domaine, elle couvre déjà HTTP et HTTPS : rien à créer ;
• si tu utilisais une propriété préfixe d’URL en http://, ajoute la propriété https:// et soumets ton sitemap dessus.

Mets aussi à jour l’adresse dans tes outils de mesure d’audience, tes profils de réseaux sociaux et tes signatures de mail. Les positions peuvent bouger quelques jours, le temps que les redirections soient prises en compte. Pour aller plus loin côté référencement, notre guide des performances prend le relais.

Une fois tout stabilisé, ton hébergeur te proposera peut-être d’activer HSTS, un en-tête qui impose HTTPS aux navigateurs. C’est efficace, mais difficile à annuler : active-le seulement quand tu es sûr que tout le site, sous-domaines compris, fonctionne en HTTPS.

Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.