Comment configurer un certificat SSL sur WordPress et passer à HTTPS

Installer un certificat SSL sur un site WordPress se fait en trois étapes : installer le certificat sur votre serveur, orienter WordPress vers les versions HTTPS de vos URL, et rediriger l’ancien trafic HTTP. La plupart des hébergeurs gèrent désormais la première étape pour vous, et depuis la version 5.7, WordPress gère lui-même une grande partie de la deuxième. Ce guide couvre les trois étapes, pour les certificats gratuits et payants, et corrige les erreurs qui apparaissent habituellement par la suite.

Réponse rapide : installez un certificat SSL via le panneau de contrôle de votre hébergement, puis ouvrez Réglages > Général dans WordPress et modifiez à la fois Adresse WordPress (URL) et Adresse du site (URL) pour utiliser leurs versions https. Terminez en ajoutant une redirection 301 afin que les requêtes HTTP arrivent en HTTPS.

Le SSL (abréviation de Secure Sockets Layer, bien que chaque certificat émis aujourd’hui utilise en réalité TLS) est ce qui transforme http:// en https:// et supprime la mention « Non sécurisé » de la barre d’adresse. Si vous voulez d’abord comprendre le contexte, lisez ce qu’est un certificat SSL. Sinon, commencez avec le tableau ci-dessous.

Quelle méthode correspond à votre configuration

Il existe trois façons d’ajouter le SSL à WordPress, et le bon choix dépend presque entièrement de votre hébergement. Trouvez votre configuration, puis passez à la méthode correspondante.

Votre configuration	Utilisez cette méthode	Durée approximative
Hébergement WordPress géré	Rien à installer. Le certificat est généralement déjà actif, passez donc directement au passage de WordPress en HTTPS	5 minutes
cPanel ou un hébergement partagé similaire	Méthode 1, l’AutoSSL gratuit de l’hébergeur	10 minutes
Un hébergeur sans outil SSL, ou vous préférez qu’on s’en occupe pour vous	Méthode 2, l’assistant du plugin	10 à 15 minutes
VPS, serveur dédié, ou certificat payant	Méthode 3, installation manuelle	30 minutes plus le temps de validation
Cloudflare placé devant votre site	Méthode 1 ou 3, puis réglez Cloudflare SSL sur Full (strict). Voir le dépannage	15 minutes

Quelle que soit la voie choisie, sauvegardez d’abord le site, et si vous disposez d’un environnement de préproduction, effectuez d’abord le changement là-bas avant de toucher à la production.

Avez-vous besoin d’un certificat SSL pour WordPress ?

Oui, et pour la plupart des gens, la raison est celle qu’ils peuvent déjà voir : Chrome, Firefox, Safari et Edge marquent tous les pages en simple HTTP comme Non sécurisé dans la barre d’adresse. Cette mention apparaît sur chaque page d’un site sans certificat, y compris le formulaire de connexion.

Trois raisons concrètes de corriger cela :

• Les identifiants et les données de formulaire circulent en clair. Sans certificat, toute personne sur le même réseau peut lire ce que les visiteurs soumettent, y compris votre propre mot de passe WordPress.
• Les paiements l’exigent. Si vous utilisez WooCommerce, ou acceptez des données de carte, le HTTPS n’est pas optionnel. Les passerelles de paiement refuseront de fonctionner en HTTP.
• Google utilise le HTTPS comme signal de classement. C’est un signal réel mais léger, alors considérez l’argument SEO comme un bonus plutôt que la raison principale. L’avertissement du navigateur, lui, est la vraie raison.

Quel certificat SSL un site WordPress doit-il utiliser ?

Commencez par l’option gratuite, car pour une large part des sites WordPress, c’est réellement la bonne réponse. La plupart des hébergeurs émettent automatiquement des certificats Let’s Encrypt gratuits, et un certificat gratuit chiffre le trafic exactement aussi bien qu’un certificat payant. Le chiffrement est identique. Ce qui diffère entre un certificat SSL WordPress et un autre, c’est ce que l’autorité de certification a vérifié avant l’émission, et ce que vous obtenez en cas de problème.

Niveaux de validation

Type	Ce que l’AC vérifie	Délai d’émission	Convient à
Validation de domaine (DV)	Que vous contrôlez le domaine	Quelques minutes	Blogs, sites vitrine, la plupart des installations WordPress
Validation d’organisation (OV)	Le domaine ainsi que votre organisation enregistrée	1 à 3 jours ouvrés	Sites d’entreprise, espaces membres, portails clients
Validation étendue (EV)	Une vérification légale et opérationnelle complète de l’entreprise	1 à 5 jours ouvrés	Boutiques traitant des paiements, finance, tout ce qui concerne l’identité

Si votre site fonctionne avec des sous-domaines, une boutique sur store.example.com et un blog sur blog.example.com par exemple, un certificat wildcard les couvre tous avec un seul certificat au lieu d’un par sous-domaine. Vous ne savez pas quel type vous convient ? L’assistant SSL vous aide à le déterminer en quelques questions.

Quand un certificat gratuit ne suffit plus

Les certificats gratuits sont uniquement de type DV, valides 90 jours, et sans support ni garantie. Cela convient parfaitement à un blog personnel. Cela devient un problème dans quatre situations :

• Vous acceptez des paiements. Les certificats payants comportent une garantie couvrant les pertes en cas de défaillance du certificat lui-même. Les certificats gratuits n’en offrent aucune.
• Vos visiteurs ont besoin de savoir qui vous êtes. Un certificat DV prouve uniquement que quelqu’un contrôle le domaine. Les certificats OV et EV intègrent vos coordonnées organisationnelles vérifiées dans le certificat.
• Vous gérez des sous-domaines. L’émission d’un wildcard gratuit est possible mais délicate, et nécessite généralement une automatisation DNS que votre hébergeur peut ne pas proposer.
• Le renouvellement n’est pas automatisé. Un certificat de 90 jours que personne ne renouvelle mettra le site hors ligne aussi sûrement que l’absence de certificat. Si votre hébergeur ne renouvelle pas automatiquement, un certificat payant à plus longue durée demande moins d’efforts, pas plus.

Méthode 1 : obtenir un certificat SSL gratuit auprès de votre hébergeur

C’est la voie la plus rapide et celle à essayer en premier. Presque tous les hébergeurs proposent désormais des certificats Let’s Encrypt gratuits, souvent déjà activés.

• Ouvrez le panneau de contrôle de votre hébergement et recherchez SSL/TLS, Let’s Encrypt, ou AutoSSL. Sur cPanel, cela se trouve sous Sécurité.
• Sélectionnez votre domaine et émettez le certificat. Incluez à la fois le domaine racine et la version www, sinon l’un des deux affichera un avertissement de non-correspondance de nom.
• Vérifiez que le renouvellement automatique est activé. C’est l’étape que les gens ignorent souvent.

Aucun panneau d’hébergement du tout, parce que vous gérez votre propre VPS ou serveur dédié ? Utilisez Certbot, le client Let’s Encrypt, qui émet le certificat depuis la ligne de commande et met en place son propre calendrier de renouvellement.

Les certificats Let’s Encrypt sont valides 90 jours, et le renouvellement est censé se faire automatiquement, généralement environ 30 jours avant l’expiration. Quand cette automatisation se casse, et cela arrive, en général après un déplacement de domaine ou un changement d’enregistrement DNS, le site reste correct pendant des semaines puis passe en « Non sécurisé » sans avertissement. Placez un rappel dans votre calendrier pour la première date de renouvellement attendue et vérifiez le certificat avec le SSL Checker une fois celle-ci passée. Si la date d’expiration a avancé, le renouvellement fonctionne.

Méthode 2 : installer le SSL sur WordPress avec un plugin

Le plugin le plus souvent utilisé est Really Simple Security. Il s’appelait Really Simple SSL jusqu’en septembre 2024, date à laquelle la version 9 l’a renommé, ses fonctionnalités gratuites ayant dépassé la simple configuration SSL. Il compte plus de trois millions d’installations actives.

Ce qui a changé en même temps que le nom est ici important : le plugin ne se contente plus de forcer la redirection, il peut aussi obtenir le certificat pour vous via un assistant Let’s Encrypt. Il couvre donc l’ensemble de la tâche quand votre hébergeur ne le fait pas.

• Installez et activez Really Simple Security depuis Extensions > Ajouter une extension.
• Suivez l’assistant d’accueil qui s’ouvre, ou accédez au nouvel élément Sécurité que le plugin ajoute à la barre latérale d’administration. Les tutoriels plus anciens mentionnent Réglages > SSL, l’emplacement où le plugin se trouvait avant le changement de nom. Si un certificat est déjà installé sur le serveur, le plugin le détecte.
• S’il n’y a pas de certificat, choisissez Installer le certificat SSL et suivez l’assistant pour obtenir un certificat Let’s Encrypt gratuit.
• Sélectionnez Activer le SSL. Le plugin met à jour les URL de votre site, configure la redirection, et recharge le tableau de bord en HTTPS.

Une mise en garde à connaître avant de vous engager. Un plugin qui force le HTTPS le fait en PHP, à chaque requête. Une redirection écrite dans la configuration du serveur se produit avant le chargement de WordPress, ce qui est plus rapide et continue de fonctionner même si le plugin est désactivé un jour. Si vous êtes à l’aise pour modifier les fichiers du serveur, effectuez le changement manuellement et gardez le plugin hors du chemin critique.

Méthode 3 : installer un certificat SSL manuellement

C’est la voie à suivre pour un certificat payant, ou pour tout serveur sans outil en un clic. Sur un hébergement partagé, vérifiez d’abord que votre forfait permet d’installer des certificats tiers ; certains hébergeurs d’entrée de gamme verrouillent encore cette fonction ou la font payer.

• Générez une CSR. La requête de signature de certificat transmet les détails de votre domaine et de votre organisation à l’autorité de certification. Utilisez notre générateur de CSR, ou suivez les guides CSR propres à votre serveur.
• Soumettez la CSR à l’autorité de certification et terminez la validation. La DV se termine en quelques minutes, l’OV et l’EV prennent quelques jours.
• Installez les fichiers. Vous recevrez le certificat lui-même ainsi qu’un ou plusieurs certificats intermédiaires. Dans cPanel, collez-les sous SSL/TLS > Gérer les sites SSL, en suivant le guide d’installation cPanel. Les autres plateformes sont couvertes dans les guides d’installation SSL.
• Vérifiez avec le SSL Checker avant de toucher à WordPress.

Faites attention aux certificats intermédiaires. Si vous installez le certificat principal mais omettez la chaîne, la plupart des navigateurs de bureau afficheront tout de même un cadenas, car ils mettent en cache les certificats intermédiaires déjà rencontrés ailleurs. Les navigateurs mobiles, les passerelles de paiement et tout ce qui appelle votre site via une API échoueront. Un site qui « fonctionne dans Chrome mais casse le paiement » révèle très souvent une chaîne incomplète, et le SSL Checker le signalera.

L’utilisation de WordPress Multisite ajoute quelques étapes, couvertes dans le guide SSL pour Multisite.

Faire passer votre site WordPress de HTTP à HTTPS

Le certificat est sur le serveur. WordPress ne le sait toujours pas. C’est là que de nombreux guides vous font lancer une recherche et remplacement dans la base de données avant tout le reste, ce qui n’est plus nécessaire pour la plupart des sites depuis plusieurs années.

Ce que WordPress fait de lui-même

Depuis WordPress 5.7, sorti en mars 2021, le noyau détecte si votre environnement supporte le HTTPS et signale cela sous Outils > Santé du site > État, dans la section État HTTPS. Lorsque le HTTPS est disponible, cette section propose un bouton qui bascule le site en un seul clic.

Plus important encore, une fois que Adresse du site (URL) et Adresse WordPress (URL) sont toutes deux en https, WordPress réécrit les URL non sécurisées dans votre contenu au moment de l’affichage de la page. Les images, liens et médias intégrés qui ont été enregistrés avec des adresses http sur votre propre domaine sont servis en https sans que vous ayez à modifier la base de données. C’est justement l’étape que les anciens tutoriels vous demandent de réaliser manuellement.

Il vaut la peine de comprendre cela précisément, car cela détermine ce qu’il vous reste à faire : la réécriture se produit à l’affichage, via des filtres appliqués au contenu au moment où il est affiché. Votre base de données conserve toujours les anciennes URL http. Pour les visiteurs, le résultat est identique, ce qui explique pourquoi la migration fonctionne sans recherche et remplacement, mais les données stockées restent inchangées. Cela devient important le jour où vous exportez le site, le déplacez vers un autre hébergeur, ou interrogez directement la base de données, et c’est pourquoi une recherche et remplacement reste utile à effectuer un jour, plutôt que jamais.

Modifier les deux paramètres d’URL

Si Santé du site ne propose pas le bouton en un clic, ou si vous préférez le faire explicitement, ouvrez Réglages > Général. Il y a deux champs et les deux doivent être modifiés :

• Adresse WordPress (URL), où se trouvent les fichiers WordPress.
• Adresse du site (URL), l’adresse que les visiteurs saisissent.

Changez http:// en https:// pour les deux, puis enregistrez. Ne modifier qu’un seul des deux est la façon la plus courante de vous retrouver bloqué hors du tableau de bord. Si cela arrive, vous pouvez définir les deux depuis wp-config.php via FTP :

define( 'WP_HOME', 'https://example.com' );
define( 'WP_SITEURL', 'https://example.com' );

Ajoutez ces lignes au-dessus de la ligne « That’s all, stop editing », et remplacez example.com par votre domaine. Notez que lorsque ces constantes sont définies, les champs de Réglages > Général deviennent en lecture seule.

Quand une recherche et remplacement reste nécessaire

La réécriture du noyau couvre le contenu affiché. Elle n’atteint pas tout, donc une recherche et remplacement demeure la solution pour :

• Les URL codées en dur dans les fichiers de thème ou dans functions.php.
• Les réglages de plugins stockés sous forme de données sérialisées, ce qui explique pourquoi vous ne devez jamais lancer une simple recherche et remplacement SQL.
• Les lignes d’options, les champs personnalisés et le contenu des widgets écrits par les constructeurs de pages.

Utilisez Better Search Replace, qui gère correctement les données sérialisées et propose un mode d’essai, ou WP-CLI :

wp search-replace 'http://example.com' 'https://example.com' --all-tables --dry-run

Lisez le résultat de l’essai, puis répétez la commande sans –dry-run pour l’appliquer. Sauvegardez d’abord la base de données.

Forcer le HTTPS dans WordPress avec une redirection 301

Votre site répond désormais en https, mais il répond encore aussi en http, et chaque ancien lien et favori pointe vers cette version. Une redirection HTTPS permanente envoie à la fois les visiteurs et les moteurs de recherche vers la version sécurisée et transmet les signaux de classement des anciennes URL. Configurez-la au niveau du serveur plutôt qu’en PHP dès que possible.

Apache

Ajoutez ceci en haut du fichier .htaccess à la racine de votre WordPress, au-dessus du bloc WordPress :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Le drapeau R=301 est ce qui rend la redirection permanente. Une règle écrite [R,L] émet à la place un 302 temporaire, une erreur à vérifier si vous avez copié une redirection depuis un guide plus ancien.

Nginx

Nginx n’a pas de fichier .htaccess et ne comprend pas les règles de réécriture écrites pour Apache. Modifiez plutôt le bloc serveur dans la configuration de votre site :

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

Testez la configuration avec nginx -t, puis rechargez avec systemctl reload nginx.

Forcer le HTTPS uniquement sur le tableau de bord

Pour sécuriser spécifiquement les connexions et la zone d’administration, ajoutez ceci à wp-config.php :

define( 'FORCE_SSL_ADMIN', true );

Cela couvre wp-admin et la page de connexion. Cela ne redirige pas le front-end, donc c’est un complément à une redirection au niveau serveur plutôt qu’un remplacement.

HSTS, une fois que tout fonctionne

HSTS indique aux navigateurs de refuser totalement le HTTP simple pour votre domaine, ce qui referme l’écart entre la première requête et la redirection. Sur Apache :

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

Ajoutez ceci uniquement une fois que le HTTPS est stable depuis un certain temps, et laissez la directive de préchargement désactivée au début. Le préchargement est difficile à annuler rapidement, et si quoi que ce soit sur un sous-domaine n’est pas encore en HTTPS, celui-ci devient inaccessible.

Corriger ce que le passage laisse derrière

Contenu mixte

Le contenu mixte désigne une page servie en HTTPS qui charge malgré tout des images, scripts, feuilles de style ou polices en HTTP. Les navigateurs les répartissent désormais en deux catégories : les ressources pouvant être mises à niveau, principalement les images et médias, qu’ils passent silencieusement en HTTPS avant de les demander, et les ressources bloquables comme les scripts et feuilles de style, qu’ils refusent totalement de charger. C’est pourquoi une page avec du contenu mixte peut simplement apparaître sans cadenas, ou arriver complètement sans mise en forme.

Sur WordPress, les sources habituelles sont une URL d’image codée en dur dans un fichier de thème, un script externe chargé en HTTP, et un CDN encore configuré en HTTP. Ouvrez la console du navigateur, qui nomme la ressource fautive, et corrigez-la à la source. Notre guide sur comment corriger le contenu mixte détaille ce diagnostic.

Caches et CDN

Purgez votre cache de page et votre CDN après le changement. Une copie en cache d’une page HTTP continuera de servir l’ancien code et fera croire qu’une migration terminée est en fait cassée.

E-mails et modèles transactionnels

Celui-ci passe presque toujours inaperçu. Les e-mails de commande WooCommerce, les messages de réinitialisation de mot de passe, les modèles de facture et les pieds de page de newsletter contiennent souvent des liens HTTP codés en dur, et ils se trouvent hors des tables qu’une recherche et remplacement classique touche. Envoyez-vous une commande test et une réinitialisation de mot de passe test, puis vérifiez vers quoi les liens pointent réellement.

Dépannage des problèmes SSL sur WordPress

Symptôme	Cause habituelle	Solution
Boucle de redirection infinie, ERR_TOO_MANY_REDIRECTS	SSL Cloudflare configuré sur Flexible. Cloudflare communique avec votre serveur en HTTP, votre serveur redirige vers HTTPS, Cloudflare renvoie	Réglez le mode de chiffrement SSL/TLS de Cloudflare sur Full (strict) et conservez un certificat valide sur l’origine
Bloqué hors de wp-admin après le passage	Un seul des deux champs d’URL a été modifié	Définissez WP_HOME et WP_SITEURL dans wp-config.php via FTP
Cadenas absent sur certaines pages seulement	Contenu mixte sur ces pages	Trouvez la ressource HTTP dans la console du navigateur, corrigez-la à la source
Le site fonctionnait bien, est devenu « Non sécurisé » quelques semaines plus tard	Un certificat Let’s Encrypt a expiré parce que le renouvellement a échoué	Réémettez-le, puis vérifiez le renouvellement automatique dans votre panneau de contrôle
Fonctionne dans le navigateur, échoue pour une application ou une passerelle de paiement	Certificats intermédiaires absents de la chaîne	Installez le paquet complet de l’AC, puis vérifiez à nouveau avec le SSL Checker
Avertissement de non-correspondance de nom sur www ou le domaine racine	Le certificat ne couvre qu’un seul des deux	Réémettez le certificat pour qu’il couvre les deux noms ; une redirection seule ne peut pas résoudre cela, l’avertissement apparaît avant qu’aucune redirection ne s’exécute

Si le certificat est installé et que le site signale toujours une absence de sécurité, les guides de résolution des erreurs SSL couvrent des codes d’erreur de navigateur spécifiques.

Après la migration : liste de vérification SEO et ce à quoi s’attendre

• Ajoutez la propriété HTTPS dans Google Search Console. Une propriété HTTP ne rapporte pas sur les URL HTTPS. Ajoutez la nouvelle et gardez l’ancienne, ou utilisez une propriété de domaine, qui couvre les deux. Si vous utilisez Bing Webmaster Tools, mettez-la également à jour là-bas.
• Soumettez à nouveau votre sitemap XML avec les URL https.
• Vérifiez que les balises canoniques pointent vers https. La plupart des plugins SEO se mettent à jour automatiquement une fois les URL du site changées, mais confirmez-le dans le code source de la page.
• Mettez à jour Google Analytics et Ads dans les réglages de propriété, ainsi que tout service tiers stockant l’URL de votre site.
• Mettez à jour les liens internes là où ils sont absolus. Les liens relatifs n’ont besoin de rien.

Ce à quoi ressemble la normalité par la suite, car cela inquiète les personnes qui ne l’ont jamais fait : Search Console affichera vos impressions réparties entre les propriétés HTTP et HTTPS pendant un moment tandis que Google recrawle, et les classements bougent souvent pendant quelques semaines avant de se stabiliser. Google traite un passage de HTTP à HTTPS comme un déménagement de site avec changements d’URL, donc une certaine fluctuation est attendue plutôt qu’un signe que quelque chose s’est cassé. Tant que les redirections 301 sont en place et que chaque page se résout correctement, il n’y a rien d’autre à faire qu’attendre.

Une chose à dire clairement : revenir en arrière du HTTPS vers le HTTP n’est presque jamais la bonne solution à un problème. Cela signifie un second déménagement de site, un nouveau round de perturbation du classement, et le retour des avertissements du navigateur. Si le HTTPS pose problème, la cause se trouve presque toujours parmi les entrées du tableau de dépannage, et corriger cela est bien moins coûteux qu’annuler la migration.

Questions fréquemment posées

Vous migrez une plateforme différente vers le HTTPS, ou vous souhaitez connaître la procédure générale ? Consultez notre guide sur comment faire passer un site de HTTP à HTTPS.