Comment faire passer votre site de HTTP à HTTPS

Faire passer un site de HTTP à HTTPS implique d’installer un certificat SSL sur votre serveur, de faire pointer votre site vers ses URL https, et de rediriger les anciennes URL http pour ne rien laisser de côté. Le travail en lui-même prend une après-midi sur la plupart des sites. Voici l’ensemble du processus en six étapes, ainsi que l’emplacement de ce paramètre sur les cinq plateformes les plus fréquemment demandées.

Réponse rapide : obtenez un certificat SSL (la plupart des hébergeurs en délivrent un gratuitement), installez-le sur votre serveur, changez les URL de votre site de http à https dans les paramètres de votre plateforme, ajoutez une redirection 301 pour que les anciens liens suivent, corrigez tout ce qui se charge encore en http, puis ajoutez la propriété https dans Google Search Console et resoumettez votre sitemap.

SSL (abréviation de Secure Sockets Layer, bien que les certificats délivrés aujourd’hui utilisent tous TLS) est ce qui rend possible le https. Si vous souhaitez d’abord comprendre le contexte, lisez ce qu’est un certificat SSL.

Comment passer de HTTP à HTTPS en 6 étapes

1. Obtenez un certificat SSL. Gratuit auprès de votre hébergeur ou de Let’s Encrypt, ou payant si vous avez besoin d’une garantie, de coordonnées d’entreprise vérifiées ou d’une couverture wildcard.
2. Installez-le sur votre serveur. Via votre panneau d’hébergement, avec Certbot, ou manuellement à partir d’une CSR.
3. Faites pointer votre plateforme vers ses URL https. Chaque CMS stocke sa propre adresse de site, et elle doit être mise à jour.
4. Redirigez le http vers le https de façon permanente avec un 301, au niveau du serveur.
5. Corrigez ce qui se charge encore en http : contenu mixte, liens absolus internes, caches et flux.
6. Informez les moteurs de recherche. Ajoutez la propriété https dans Search Console, resoumettez votre sitemap, vérifiez vos balises canoniques.

Chaque étape est détaillée ci-dessous. Si vous avez déjà un certificat et n’avez besoin que du paramètre de la plateforme, passez directement à l’étape 3.

Avant de commencer : sauvegardez votre site et sa base de données, et si vous disposez d’un environnement de préproduction, effectuez d’abord le changement là-bas. Deux des étapes ci-dessous peuvent vous verrouiller hors de votre propre administration si le certificat ne fonctionne pas correctement, donc une sauvegarde fait la différence entre une correction de cinq minutes et une mauvaise après-midi. Sur une boutique en ligne, faites cela hors des heures de pointe : chaque minute où le paiement est indisponible est une commande perdue.

Pourquoi passer maintenant : Chrome rend HTTPS obligatoire par défaut en octobre 2026

Les arguments habituels en faveur du HTTPS restent valables, mais il existe désormais une date associée, ce qui change le calcul pour toute personne remettant encore cela à plus tard.

Chrome active Always Use Secure Connections par défaut, en deux étapes. En avril 2026, Chrome 147 l’a activé pour tous les utilisateurs bénéficiant de la navigation sécurisée renforcée (Enhanced Safe Browsing), soit plus d’un milliard de personnes. En octobre 2026, Chrome 154 l’étend à tous les utilisateurs à l’échelle mondiale. Une fois cette option activée, Chrome essaie d’abord le https et affiche un avertissement avant de charger un site public en http que l’utilisateur n’a jamais visité.

En d’autres termes, si votre site est encore en http après octobre 2026, une grande partie de vos visiteurs rencontrera un avertissement intersticiel avant d’y accéder. Les adresses privées telles que les routeurs et les intranets sont traitées différemment et ne font pas l’objet d’un avertissement par défaut.

HTTPS est désormais aussi une question de vitesse

Cet aspect est souvent oublié dans la plupart des guides de migration. HTTP/2 n’exige pas formellement le chiffrement, mais aucun navigateur majeur ne l’a jamais implémenté sur des connexions non chiffrées, donc en pratique, vous ne pouvez pas l’utiliser sans HTTPS. HTTP/3 va plus loin : il exige TLS 1.3 et n’a aucun mode non chiffré. Rester en http vous exclut donc des deux protocoles de transport modernes et des performances qui les accompagnent.

Les raisons habituelles restent valables. Les navigateurs affichent les pages http comme Non sécurisées, les données de formulaire et les mots de passe circulent en clair sans certificat, les passerelles de paiement refusent de fonctionner en http, et Google traite HTTPS comme un signal de classement depuis 2014. Ce dernier point est un signal réel mais léger, à considérer comme un bonus plutôt que comme la raison principale.

Étape 1 : Obtenez un certificat SSL

Vérifiez d’abord votre panneau d’hébergement. La plupart des hébergeurs délivrent désormais des certificats Let’s Encrypt gratuits via une section SSL/TLS ou AutoSSL, et beaucoup en ont déjà émis un que vous n’utilisez pas. Un certificat gratuit chiffre le trafic exactement aussi bien qu’un certificat payant ; ce qui diffère, c’est ce que l’autorité de certification a vérifié avant de le délivrer, et ce qui le garantit en cas de problème.

Type	Ce que la CA vérifie	Délivré en	Convient à
Validation de domaine (DV)	Que vous contrôlez le domaine	Quelques minutes	Blogs, sites vitrines, la plupart des petits sites
Validation d’organisation (OV)	Le domaine ainsi que votre organisation enregistrée	1 à 3 jours ouvrés	Sites d’entreprise, espaces membres, portails clients
Validation étendue (EV)	Une vérification complète juridique et opérationnelle de l’entreprise	1 à 3 jours ouvrés	Boutiques en ligne, finance, partout où l’identité compte

Si votre site utilise des sous-domaines, un certificat wildcard les couvre tous avec un seul certificat. Vous ne savez pas quel type s’applique ? Le SSL Wizard l’affine en quelques questions, ou parcourez les certificats directement.

Un point à anticiper quel que soit votre choix : les certificats Let’s Encrypt durent 90 jours et sont censés se renouveler automatiquement environ 30 jours avant leur expiration. Lorsque cette automatisation échoue, ce qui arrive, le site fonctionne pendant des semaines puis devient soudainement non sécurisé sans avertissement. Confirmez que le renouvellement automatique est activé, et vérifiez le certificat une fois après la première date de renouvellement prévue.

Étape 2 : Installez-le sur votre serveur

• Panneau d’hébergement. La voie la plus rapide. Sur cPanel, SSL/TLS se trouve sous Sécurité. Émettez pour le domaine racine et la version www, sinon celui que vous aurez oublié déclenchera un avertissement de non-correspondance de nom.
• Certbot sur un VPS sans panneau. Il délivre le certificat, configure le serveur et installe sa propre minuterie de renouvellement.
• Manuellement pour un certificat payant : générez une CSR avec le générateur de CSR ou l’un de nos plus de 70 tutoriels sur la création d’une CSR, complétez la validation, puis installez le certificat, la clé et les intermédiaires. Nous avons plus de 80 guides d’installation SSL, dont cPanel.

Vérifiez avant d’aller plus loin. Lancez le SSL Checker sur votre domaine. L’échec silencieux le plus courant est une chaîne de certificats incomplète : le site affiche un cadenas dans votre navigateur de bureau, car celui-ci a mis en cache le certificat intermédiaire provenant d’ailleurs, tandis que les navigateurs mobiles et les passerelles de paiement échouent. Le vérificateur le signale.

Étape 3 : Faites pointer votre plateforme vers ses URL HTTPS

Un certificat fonctionnel rend le https disponible. Votre site continuera à générer des liens http jusqu’à ce que vous lui indiquiez de ne pas le faire, car chaque CMS stocke sa propre adresse. Voici où se trouve ce paramètre.

Plateforme	Où se trouve le paramètre
WordPress	Réglages > Général, modifiez à la fois Adresse WordPress (URL) et Adresse du site (URL). Depuis la version 5.7, le cœur réécrit également les URL non sécurisées dans votre contenu une fois les deux en https, et Santé du site propose un changement en un clic
Joomla	Système > Configuration globale > Serveur, réglez Forcer HTTPS sur Tout le site
PrestaShop	Paramètres de la boutique > Général, effectuez le test HTTPS, réglez Activer SSL sur Oui, puis Activer SSL sur toutes les pages, puis Enregistrer. Le deuxième interrupteur reste verrouillé jusqu’à ce que le premier soit enregistré
Magento 2	Stores > Configuration > General > Web, ouvrez Base URLs (Secure), réglez l’URL de base sécurisée sur https, puis réglez Use Secure URLs on Storefront et Use Secure URLs in Admin sur Oui et appuyez sur Save Config, puis videz le cache. Ces deux paramètres font que Magento délivre des URL https ; seul celui de l’admin impose une redirection, donc la vitrine a encore besoin de l’étape 4
Drupal	Aucun paramètre du cœur, et rien dans .htaccess à activer : les règles commentées que Drupal fournit là-bas redirigent entre www et non-www, pas de http vers https. Ajoutez la règle au niveau du serveur de l’étape 4 dans ce même fichier
Shopify, Wix, Squarespace	Rien à faire. HTTPS est automatique et ne peut pas être désactivé

Cette ligne Drupal vaut d’être lue deux fois, car de nombreux guides se trompent à ce sujet. Le fichier .htaccess de Drupal contient effectivement des règles de redirection commentées, il est donc facile de supposer qu’elles concernent le HTTPS. Ce n’est pas le cas. Voici ce qui se trouve réellement là-dedans, et cela ne fait que choisir entre www et non-www :

# RewriteCond %{HTTP_HOST} .
# RewriteCond %{HTTP_HOST} !^www. [NC]
# RewriteRule ^ http%{ENV:protossl}://www.%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Notez la variable protossl dans cette dernière ligne : elle préserve le protocole d’origine de la requête, donc décommenter ces règles laisse un visiteur http en http. Utilisez plutôt la règle Apache ordinaire de l’étape 4.

Si votre plateforme ne figure pas dans la liste, ne vous inquiétez pas de trouver un paramètre équivalent. La redirection au niveau du serveur de l’étape suivante fonctionne quel que soit ce qui s’exécute au-dessus.

Étape 4 : Redirigez le HTTP vers le HTTPS de façon permanente

Vos pages répondent désormais en https, mais elles répondent encore aussi en http, et chaque ancien lien, favori et URL indexée y pointe. Une redirection permanente corrige cela.

Il doit s’agir d’un 301, et non d’un 302 temporaire. Un 301 indique aux moteurs de recherche que le déplacement est permanent. Google précise que les redirections 301 et les autres redirections permanentes n’entraînent pas de perte de PageRank, ce qui vaut la peine d’être su, car la crainte de perdre des classements est ce qui maintient la plupart des sites en http plus longtemps qu’ils ne le devraient.

Sur Apache, ajoutez ceci en haut du fichier .htaccess à la racine de votre site :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

La condition doit indiquer off, ce qui signifie « rediriger lorsque la requête n’est pas déjà sécurisée ». Écrite comme « on », ce qui apparaît dans un nombre surprenant d’extraits publiés, elle ne se déclenche que sur les requêtes déjà en https et les renvoie vers https à nouveau, ce qui crée une boucle.

Sur Nginx, il n’y a pas de .htaccess. Modifiez le bloc serveur :

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

Testez avec nginx -t, puis rechargez avec systemctl reload nginx.

Si vous obtenez ERR_TOO_MANY_REDIRECTS juste après avoir ajouté ceci, la cause habituelle est un proxy tel que Cloudflare réglé sur SSL Flexible : il communique avec votre serveur en http tandis que votre serveur redirige vers https, ce qui fait rebondir la requête entre les deux. Réglez le mode de chiffrement sur Full (strict) et conservez un certificat valide sur le serveur d’origine.

Étape 5 : Corrigez ce qui se charge encore en HTTP

Contenu mixte. Une page servie en https qui charge encore une image, un script ou une feuille de style en http constitue du contenu mixte. Les navigateurs mettent tranquillement à niveau certaines ressources, principalement les images et les médias, et refusent carrément les autres, ce qui explique pourquoi une page affectée peut arriver complètement sans style. La console du navigateur indique le fichier fautif. Notre guide sur comment corriger le contenu mixte couvre le diagnostic.

Liens absolus internes. Tout lien sur votre propre site écrit sous forme d’adresse http complète pointe encore vers http, et prend désormais un saut de redirection supplémentaire à chaque clic. Les liens relatifs n’ont besoin de rien. Cette étape est presque universellement négligée, et c’est ce qui fait la différence entre une migration terminée et une migration qui fonctionne simplement.

Caches, CDN et flux. Purgez votre cache de page et votre CDN, sinon une copie en cache d’une page http continuera à servir l’ancien balisage et fera paraître cassée une migration terminée. Vérifiez ensuite les endroits qu’une recherche et un remplacement dans la base de données n’atteignent jamais : modèles d’e-mails, factures, flux de produits et tout ce qu’un service tiers stocke sur votre site.

Comment savoir si ça a fonctionné

Quatre vérifications, dans l’ordre.

1. Saisissez votre adresse http dans un navigateur et confirmez qu’elle aboutit en https plutôt que de se charger telle quelle.
2. Faites de même pour les versions www et non-www de votre domaine, car un certificat couvrant une seule d’entre elles déclenchera une non-correspondance de nom sur l’autre.
3. Ouvrez quelques pages internes, pas seulement la page d’accueil, et confirmez que le cadenas est présent sur chacune.
4. Lancez ensuite le SSL Checker une fois de plus, qui détecte les problèmes de chaîne et d’expiration qu’un navigateur vous cachera.

Étape 6 : Informez les moteurs de recherche

• Ajoutez la propriété https dans Google Search Console. Une propriété http ne fournit pas de rapports sur les URL https. Ajoutez la nouvelle et conservez l’ancienne, ou utilisez une propriété de domaine, qui couvre les deux protocoles à la fois.
• Resoumettez votre sitemap avec des URL https. Google indique que soumettre un sitemap accélère la découverte lors d’un déplacement.
• Vérifiez que vos balises canoniques pointent vers https. La plupart des plugins SEO se mettent à jour automatiquement une fois l’URL du site modifiée, mais confirmez-le dans le code source de la page.
• Mettez à jour les analytics, les plateformes publicitaires et tout service tiers qui stocke l’URL de votre site.

N’utilisez pas l’outil de changement d’adresse. C’est un piège pour les personnes prudentes, car soumettre un changement d’adresse est exactement ce que l’on s’attendrait à faire. Google classe un passage de http à https comme un déplacement de site avec changements d’URL, donc suivez les directives de Google sur le déplacement de site. Ces directives indiquent explicitement que si vous passez de HTTP à HTTPS, vous n’avez pas besoin d’utiliser l’outil de changement d’adresse. Réservez-le au déplacement vers un domaine différent.

À quoi s’attendre par la suite

Durée du travail. Sur un hébergement géré où le certificat est déjà délivré, environ quinze minutes. Délivrer un certificat gratuit et configurer la plateforme, une demi-heure. Un certificat payant ajoute le délai de validation : quelques minutes pour la Validation de Domaine, un à trois jours ouvrés pour la Validation d’Organisation ou Étendue. Corriger le contenu mixte est la partie variable et dépend de la quantité de contenu comportant des liens codés en dur.

Durée pour Google. Plus longue que le travail lui-même. Les conseils de Google sur les déplacements de site indiquent qu’un site de taille moyenne prend quelques semaines pour que la plupart des pages basculent dans l’index, et que les sites plus grands prennent plus de temps. Pendant cette période, vos impressions apparaissent réparties entre les propriétés http et https, et les classements fluctuent. C’est un comportement attendu pour un déplacement de site, pas un signe que quelque chose s’est cassé.

Une fois que le https est stable depuis un certain temps, envisagez HSTS, qui indique aux navigateurs de refuser purement et simplement le http en clair pour votre domaine et comble l’écart entre la première requête et la redirection. Laissez la directive de préchargement désactivée au début : elle est difficile à annuler, et elle rendra inaccessible tout sous-domaine encore en http.

Si quelque chose ne va toujours pas, les guides d’erreurs SSL traitent des codes d’erreur spécifiques aux navigateurs.

Peut-on revenir de HTTPS à HTTP ?

Techniquement oui, en supprimant la redirection et en rétablissant les URL de votre site. En pratique, vous ne devriez presque jamais le faire. C’est un deuxième déplacement de site, avec un deuxième cycle de bouleversement de l’index, et les avertissements du navigateur reviennent immédiatement, ce qui après octobre 2026 signifie un intersticiel pour la plupart des visiteurs. Si vous avez activé HSTS, les navigateurs refuseront le http pour votre domaine jusqu’à l’expiration de la politique, donc l’annulation ne fonctionnera même pas correctement.

La seule exception habituelle est le développement local, où un certificat auto-signé ou un simple http sur une machine que personne d’autre ne peut atteindre est normal. Si un site en production se comporte mal en https, la cause est presque toujours le certificat, le contenu mixte ou une boucle de redirection, et corriger l’un de ces éléments est bien moins coûteux que d’annuler la migration.

Questions fréquemment posées

Vous utilisez une plateforme spécifique ? Nous avons des guides détaillés pour WordPress, Joomla et PrestaShop.