Cum să configurați un certificat SSL pe WordPress și să treceți la HTTPS

Instalarea unui certificat SSL pe un site WordPress necesită trei pași: instalarea certificatului pe server, direcționarea WordPress către versiunile HTTPS ale URL-urilor și redirecționarea traficului HTTP vechi. Majoritatea găzduirilor gestionează acum primul pas pentru tine, iar de la versiunea 5.7 WordPress gestionează o mare parte din al doilea pas automat. Acest ghid acoperă toți cei trei pași, pentru certificate gratuite și plătite, și corectează erorile care apar de obicei ulterior.

Răspuns rapid: instalează un certificat SSL prin panoul de control al găzduirii, apoi deschide Settings > General în WordPress și schimbă atât WordPress Address (URL), cât și Site Address (URL) la versiunile lor https. Termină prin adăugarea unei redirecționări 301, astfel încât cererile HTTP să ajungă pe HTTPS.

SSL (abreviere pentru Secure Sockets Layer, deși fiecare certificat emis astăzi folosește de fapt TLS) este cel care transformă http:// în https:// și elimină eticheta „Not Secure” din bara de adrese. Dacă vrei mai întâi contextul, citește ce este un certificat SSL. În caz contrar, începe cu tabelul de mai jos.

Ce metodă se potrivește configurației tale

Există trei modalități de a adăuga SSL pe WordPress, iar cea potrivită depinde aproape exclusiv de găzduirea ta. Găsește-ți configurația, apoi treci direct la metoda respectivă.

Configurația ta	Folosește această metodă	Durata aproximativă
Găzduire WordPress gestionată (managed)	Nimic de instalat. Certificatul este de obicei deja activ, așa că treci direct la trecerea WordPress pe HTTPS	5 minute
cPanel sau o găzduire partajată similară	Metoda 1, AutoSSL gratuit al furnizorului	10 minute
O găzduire fără unealtă SSL, sau vrei ca totul să fie făcut pentru tine	Metoda 2, expertul (wizard) din plugin	10 până la 15 minute
VPS, server dedicat sau un certificat plătit	Metoda 3, instalare manuală	30 de minute plus timpul de validare
Cloudflare aflat în fața site-ului tău	Metoda 1 sau 3, apoi setează SSL-ul Cloudflare pe Full (strict). Vezi secțiunea de depanare	15 minute

Indiferent de traseul pe care îl alegi, fă mai întâi o copie de siguranță a site-ului, iar dacă ai un mediu de testare (staging), aplică modificarea acolo înainte de a o face pe site-ul live.

Ai nevoie de un certificat SSL pentru WordPress?

Da, iar pentru majoritatea oamenilor motivul este cel pe care îl pot vedea deja: Chrome, Firefox, Safari și Edge marchează toate paginile HTTP simple drept Not Secure în bara de adrese. Eticheta aceasta apare pe fiecare pagină a unui site fără certificat, inclusiv pe formularul de autentificare.

Trei motive practice pentru a rezolva problema:

• Datele de autentificare și cele din formulare circulă necriptate. Fără un certificat, orice persoană din aceeași rețea poate citi ceea ce trimit vizitatorii, inclusiv propria ta parolă de WordPress.
• Plățile îl necesită. Dacă folosești WooCommerce, sau accepți orice tip de date de card, HTTPS nu este opțional. Procesatorii de plăți vor refuza să funcționeze prin HTTP.
• Google folosește HTTPS ca semnal de clasificare. Este un semnal real, dar unul minor, așa că tratează argumentul SEO ca un bonus, nu ca motivul principal. Avertismentul din browser este motivul principal.

Ce certificat SSL ar trebui să folosească un site WordPress?

Începe cu opțiunea gratuită, pentru că pentru o mare parte dintre site-urile WordPress este într-adevăr răspunsul potrivit. Majoritatea găzduirilor emit automat certificate Let’s Encrypt gratuite, iar un certificat gratuit criptează traficul exact la fel de bine ca unul plătit. Criptarea este identică. Ceea ce diferă între un certificat SSL WordPress și altul este ce a verificat autoritatea de certificare înainte de emitere și ce obții atunci când ceva nu funcționează.

Niveluri de validare

Tip	Ce verifică CA	Emis în	Se potrivește pentru
Domain Validation (DV)	Că deții controlul domeniului	Minute	Bloguri, site-uri de prezentare, majoritatea instalărilor WordPress
Organization Validation (OV)	Domeniul plus organizația ta înregistrată	1 până la 3 zile lucrătoare	Site-uri de afaceri, zone pentru membri, portaluri pentru clienți
Extended Validation (EV)	O verificare completă legală și operațională a companiei	1 până la 5 zile lucrătoare	Magazine care procesează plăți, finanțe, orice unde identitatea contează

Dacă site-ul tău rulează pe subdomenii, de exemplu un magazin pe store.example.com și un blog pe blog.example.com, un certificat wildcard le acoperă pe toate cu un singur certificat, în loc de câte unul pentru fiecare subdomeniu. Nu ești sigur ce tip se aplică în cazul tău? SSL Wizard te ajută să stabilești acest lucru în câteva întrebări.

Când un certificat gratuit nu mai este suficient

Certificatele gratuite sunt doar DV, valabile 90 de zile și vin fără suport și fără garanție. Acest lucru este în regulă pentru un blog personal. Devine o problemă în patru situații:

• Accepți plăți. Certificatele plătite au o garanție care acoperă pierderile în cazul în care certificatul însuși se defectează. Cele gratuite nu au niciuna.
• Vizitatorii tăi trebuie să știe cine ești. Un certificat DV dovedește doar că cineva controlează domeniul. OV și EV includ în certificat detaliile verificate ale organizației tale.
• Folosești subdomenii. Emiterea gratuită de certificate wildcard este posibilă, dar greu de gestionat, și de obicei necesită automatizare DNS pe care găzduirea ta poate să nu o ofere.
• Reînnoirea nu este automatizată. Un certificat de 90 de zile pe care nimeni nu îl reînnoiește dezactivează site-ul la fel de sigur ca lipsa completă a unui certificat. Dacă găzduirea ta nu reînnoiește automat, un certificat plătit cu durată mai lungă înseamnă mai puțină muncă, nu mai multă.

Metoda 1: obține un certificat SSL gratuit de la furnizorul de găzduire

Aceasta este ruta cea mai rapidă și cea pe care ar trebui să o încerci prima. Aproape orice furnizor de găzduire oferă acum certificate Let’s Encrypt gratuite, adesea deja activate.

• Deschide panoul de control al găzduirii și caută SSL/TLS, Let’s Encrypt sau AutoSSL. În cPanel se află sub secțiunea Security.
• Selectează domeniul tău și emite certificatul. Include atât domeniul de bază, cât și versiunea www, altfel unul dintre ele va genera un avertisment de nepotrivire de nume.
• Confirmă că reînnoirea automată este activată. Acesta este pasul pe care oamenii îl sar.

Nu ai deloc panou de găzduire, pentru că rulezi propriul VPS sau server dedicat? Folosește Certbot, clientul Let’s Encrypt, care emite certificatul din linia de comandă și își configurează propriul program de reînnoire.

Certificatele Let’s Encrypt sunt valabile 90 de zile, iar reînnoirea ar trebui să se producă automat, de obicei cu aproximativ 30 de zile înainte de expirare. Atunci când această automatizare se defectează, și se defectează, de obicei după ce un domeniu este mutat sau se modifică o înregistrare DNS, site-ul rămâne funcțional timp de câteva săptămâni, apoi devine „Not Secure” fără avertisment. Pune-ți o notificare în calendar pentru prima dată de reînnoire estimată și verifică certificatul cu SSL Checker după ce a trecut acea dată. Dacă data de expirare a avansat, reînnoirea funcționează.

Metoda 2: instalează SSL pe WordPress cu un plugin

Plugin-ul la care recurge cel mai des majoritatea oamenilor este Really Simple Security. Se numea Really Simple SSL până în septembrie 2024, când versiunea 9 l-a redenumit odată cu creșterea setului său de funcții gratuite dincolo de configurarea SSL. Are peste trei milioane de instalări active.

Ceea ce s-a schimbat împreună cu numele este relevant aici: plugin-ul nu mai forțează doar redirecționarea, ci poate obține și certificatul pentru tine printr-un expert Let’s Encrypt. Astfel acoperă întreaga operațiune atunci când găzduirea ta nu o face.

• Instalează și activează Really Simple Security din Plugins > Add New Plugin.
• Urmează procesul de inițiere care se deschide, sau accesează noul element Security pe care plugin-ul îl adaugă în bara laterală de administrare. Tutorialele mai vechi indică Settings > SSL, care este locul unde se afla plugin-ul înainte de redenumire. Dacă un certificat este deja instalat pe server, plugin-ul îl detectează.
• Dacă nu există niciun certificat, alege Install SSL certificate și urmează expertul pentru a obține unul gratuit de la Let’s Encrypt.
• Selectează Activate SSL. Plugin-ul actualizează URL-urile site-ului tău, configurează redirecționarea și reîncarcă panoul de administrare prin HTTPS.

O precizare pe care merită să o cunoști înainte de a te decide. Un plugin care forțează HTTPS o face în PHP, la fiecare cerere. O redirecționare scrisă direct în configurația serverului se produce înainte ca WordPress să se încarce, ceea ce este mai rapid și continuă să funcționeze chiar dacă plugin-ul este vreodată dezactivat. Dacă te simți confortabil să editezi fișiere de server, fă schimbarea manual și lasă plugin-ul în afara traseului critic.

Metoda 3: instalează manual un certificat SSL

Aceasta este ruta pentru un certificat plătit, sau pentru orice server fără o unealtă cu un singur clic. Pe găzduirea partajată, verifică mai întâi dacă planul tău permite instalarea de certificate terțe; câteva găzduiri economice încă restricționează acest lucru sau percep taxe pentru el.

• Generează un CSR. Cererea de semnare a certificatului transportă detaliile domeniului și organizației tale către autoritatea de certificare. Folosește generatorul nostru de CSR, sau urmează ghidurile CSR pentru serverul tău specific.
• Trimite CSR-ul către autoritatea de certificare și finalizează validarea. DV se finalizează în câteva minute, OV și EV durează câteva zile.
• Instalează fișierele. Vei primi certificatul propriu-zis, plus unul sau mai multe certificate intermediare. În cPanel, lipește-le sub SSL/TLS > Manage SSL sites, urmând ghidul de instalare cPanel. Alte platforme sunt tratate în ghidurile de instalare SSL.
• Verifică cu SSL Checker înainte de a modifica WordPress.

Fii atent la certificatele intermediare. Dacă instalezi certificatul principal, dar omiți lanțul, majoritatea browserelor de desktop vor arăta totuși un lacăt, pentru că memorează în cache certificatele intermediare pe care le-au văzut deja în altă parte. Browserele mobile, procesatorii de plăți și orice care accesează site-ul tău printr-un API vor da eroare. Un site care „funcționează în Chrome, dar strică finalizarea comenzii” este foarte des un lanț incomplet, iar SSL Checker îl va raporta.

Rularea WordPress Multisite adaugă câțiva pași suplimentari, tratați în ghidul SSL pentru Multisite.

Trece site-ul WordPress de la HTTP la HTTPS

Certificatul se află pe server. WordPress încă nu știe despre el. Aici multe ghiduri te trimit să rulezi o căutare și înlocuire în baza de date înainte de orice altceva, iar pentru majoritatea site-urilor asta nu a fost necesar de ani de zile.

Ce face WordPress automat

Începând cu WordPress 5.7, lansat în martie 2021, nucleul detectează dacă mediul tău suportă HTTPS și raportează acest lucru sub Tools > Site Health > Status, în secțiunea HTTPS status. Când HTTPS este disponibil, secțiunea respectivă oferă un buton care trece site-ul dintr-un singur clic.

Mai important, odată ce atât Site Address (URL), cât și WordPress Address (URL) sunt pe https, WordPress rescrie URL-urile nesecurizate din conținutul tău în timp ce redă pagina. Imaginile, linkurile și conținutul încorporat care au fost salvate cu adrese http pe propriul tău domeniu sunt afișate prin https fără să editezi baza de date deloc. Acesta este pasul pe care tutorialele mai vechi îți spun să îl faci manual.

Merită să înțelegi exact acest lucru, pentru că decide ce mai trebuie să faci: rescrierea se produce la afișare, prin filtre atașate conținutului atunci când este afișat. Baza ta de date încă păstrează vechile URL-uri http. Pentru vizitatori rezultatul este identic, motiv pentru care migrarea funcționează fără o căutare și înlocuire, dar datele stocate rămân neschimbate. Acest lucru contează în ziua în care exporți site-ul, îl muți pe o altă găzduire, sau interoghezi direct baza de date, și de aceea o căutare și înlocuire merită totuși rulată eventual, nu niciodată.

Modifică cele două setări de URL

Dacă Site Health nu oferă butonul dintr-un singur clic, sau preferi să o faci explicit, deschide Settings > General. Există două câmpuri și ambele trebuie modificate:

• WordPress Address (URL), unde se află fișierele WordPress.
• Site Address (URL), adresa pe care o tastează vizitatorii.

Schimbă http:// în https:// în ambele, apoi salvează. Modificarea doar a unuia dintre ele este cea mai frecventă modalitate de a te bloca singur în afara panoului de administrare. Dacă se întâmplă asta, poți seta ambele din wp-config.php prin FTP:

define( 'WP_HOME', 'https://example.com' );
define( 'WP_SITEURL', 'https://example.com' );

Adaugă aceste linii deasupra liniei care spune „That’s all, stop editing”, și înlocuiește example.com cu domeniul tău. Reține că, în timp ce aceste constante sunt definite, câmpurile din Settings > General devin doar pentru citire.

Când ai încă nevoie de o căutare și înlocuire

Rescrierea făcută de nucleu acoperă conținutul redat. Nu ajunge pretutindeni, deci o căutare și înlocuire este încă soluția pentru:

• URL-uri fixe direct în fișierele temei sau în functions.php.
• Setările plugin-urilor stocate ca date serializate, motiv pentru care nu ar trebui niciodată să rulezi o căutare și înlocuire SQL simplă.
• Rânduri de opțiuni, câmpuri personalizate și conținut de widget-uri scrise de constructori de pagini.

Folosește Better Search Replace, care gestionează corect datele serializate și are un mod de testare (dry-run), sau WP-CLI:

wp search-replace 'http://example.com' 'https://example.com' --all-tables --dry-run

Citește rezultatul rulării de test, apoi repetă comanda fără –dry-run pentru a o aplica. Fă mai întâi o copie de siguranță a bazei de date.

Forțează HTTPS în WordPress cu o redirecționare 301

Site-ul tău răspunde acum prin https, dar încă răspunde și prin http, și fiecare link vechi și favorit indică acolo. O redirecționare HTTPS permanentă trimite atât vizitatorii, cât și motoarele de căutare către versiunea securizată și transferă semnalele de clasificare ale URL-urilor vechi. Setează-o la nivel de server, mai degrabă decât în PHP, oriunde poți.

Apache

Adaugă acest lucru în partea de sus a fișierului .htaccess din rădăcina WordPress, deasupra blocului WordPress:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Marcajul R=301 este cel care o face permanentă. O regulă scrisă ca [R,L] emite în schimb o redirecționare temporară 302, ceea ce este o greșeală pe care merită să o verifici dacă ai copiat o redirecționare dintr-un ghid mai vechi.

Nginx

Nginx nu are .htaccess și nu înțelege reguli de rescriere scrise pentru Apache. Editează în schimb blocul server din configurația site-ului tău:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

Testează configurația cu nginx -t, apoi reîncarcă cu systemctl reload nginx.

Forțează HTTPS doar pentru panoul de administrare

Pentru a securiza autentificările și zona de administrare în mod specific, adaugă acest lucru în wp-config.php:

define( 'FORCE_SSL_ADMIN', true );

Acest lucru acoperă wp-admin și pagina de autentificare. Nu redirecționează partea publică a site-ului, deci completează o redirecționare la nivel de server, în loc să o înlocuiască.

HSTS, odată ce totul funcționează

HSTS spune browserelor să refuze complet HTTP simplu pentru domeniul tău, ceea ce elimină intervalul dintre prima cerere și redirecționare. Pe Apache:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

Adaugă acest lucru abia după ce HTTPS a fost stabil o vreme, și lasă directiva de preîncărcare (preload) dezactivată la început. Preîncărcarea este dificil de anulat rapid, iar dacă ceva de pe un subdomeniu nu este încă pe HTTPS, devine inaccesibil.

Rezolvă ce lasă în urmă trecerea

Conținut mixt

Conținutul mixt este o pagină livrată prin HTTPS care încă încarcă imagini, scripturi, foi de stil sau fonturi prin HTTP. Browserele îl împart acum în două categorii: resurse upgradabile, în principal imagini și materiale media, pe care le actualizează discret la HTTPS înainte de a le solicita, și resurse blocabile, cum sunt scripturile și foile de stil, pe care refuză complet să le încarce. De aceea o pagină cu conținut mixt poate să pară doar fără lacăt, sau poate apărea complet fără stilizare.

În WordPress sursele obișnuite sunt un URL de imagine fix într-un fișier de temă, un script extern încărcat prin HTTP și un CDN încă configurat pentru HTTP. Deschide consola browserului, care indică resursa problematică, și corectează-o la sursă. Ghidul nostru despre cum să corectezi conținutul mixt tratează diagnosticarea în detaliu.

Cache-uri și CDN

Golește cache-ul paginii și CDN-ul după trecere. O copie memorată în cache a unei pagini HTTP va continua să servească vechiul marcaj și va face ca o migrare finalizată să pară defectă.

E-mailuri și șabloane tranzacționale

Acesta este aproape mereu omis. E-mailurile de comandă WooCommerce, mesajele de resetare a parolei, șabloanele de facturi și subsolurile de newsletter conțin adesea linkuri HTTP fixe, și acestea se află în afara tabelelor pe care le atinge o căutare și înlocuire normală. Trimite-ți o comandă de test și o resetare de parolă de test, apoi verifică unde indică efectiv linkurile.

Depanarea problemelor SSL în WordPress

Simptom	Cauza obișnuită	Soluție
Buclă de redirecționare fără sfârșit, ERR_TOO_MANY_REDIRECTS	SSL Cloudflare setat pe Flexible. Cloudflare comunică cu serverul tău prin HTTP, serverul tău redirecționează spre HTTPS, Cloudflare o trimite înapoi	Setează modul de criptare SSL/TLS Cloudflare pe Full (strict) și păstrează un certificat valid pe origine
Blocat în afara wp-admin după trecere	A fost modificat doar unul dintre cele două câmpuri de URL	Setează WP_HOME și WP_SITEURL în wp-config.php prin FTP
Lacăt lipsă doar pe unele pagini	Conținut mixt pe acele pagini	Găsește resursa HTTP în consola browserului, corectează-o la sursă
Site-ul funcționa bine, a devenit „Not Secure” câteva săptămâni mai târziu	Un certificat Let’s Encrypt a expirat pentru că reînnoirea s-a defectat	Reemite, apoi confirmă reînnoirea automată în panoul tău de control
Funcționează în browser, dă eroare pentru o aplicație sau un procesator de plăți	Certificate intermediare lipsă din lanț	Instalează pachetul CA complet, apoi verifică din nou cu SSL Checker
Avertisment de nepotrivire de nume pe www sau pe domeniul de bază	Certificatul acoperă doar unul dintre cele două	Reemite certificatul astfel încât să acopere ambele nume; o redirecționare singură nu poate corecta acest lucru, avertismentul apare înainte de a se produce vreo redirecționare

Dacă certificatul este instalat și site-ul încă se raportează ca nesecurizat, ghidurile de erori SSL tratează codurile specifice de eroare din browser.

După migrare: lista de verificare SEO și ce să te aștepți

• Adaugă proprietatea HTTPS în Google Search Console. O proprietate HTTP nu raportează despre URL-urile HTTPS. Adaugă-o pe cea nouă și păstrează-o pe cea veche, sau folosește o proprietate de domeniu, care le acoperă pe amândouă. Dacă folosești Bing Webmaster Tools, actualizează-l și acolo.
• Retrimite sitemap-ul tău XML cu URL-urile https.
• Verifică etichetele canonice să indice către https. Majoritatea plugin-urilor SEO se actualizează automat odată ce URL-urile site-ului se schimbă, dar confirmă acest lucru în codul sursă al paginii.
• Actualizează setările proprietăților Google Analytics și Ads, și orice serviciu terț care stochează URL-ul site-ului tău.
• Actualizează linkurile interne acolo unde sunt absolute. Linkurile relative nu necesită nimic.

Cum arată normalul după aceea, pentru că îngrijorează oamenii care nu au făcut niciodată asta: Search Console va arăta impresiile tale împărțite între proprietățile HTTP și HTTPS pentru o vreme, în timp ce Google reindexează, și clasamentele se mișcă adesea puțin timp de câteva săptămâni înainte de a se stabiliza. Google tratează o trecere de la HTTP la HTTPS ca o mutare de site cu modificări de URL, deci o anumită fluctuație este de așteptat, nu un semn că ceva s-a defectat. Atâta timp cât redirecționările 301 sunt puse în funcțiune și fiecare pagină se rezolvă corect, nu mai ai nimic de făcut decât să aștepți.

Un lucru pe care merită să îl spunem clar: revenirea de la HTTPS la HTTP nu este aproape niciodată soluția corectă pentru o problemă. Înseamnă o a doua mutare de site, un nou val de perturbare a clasamentelor, iar avertismentele din browser revin. Dacă HTTPS creează probleme, cauza este aproape mereu una dintre intrările din tabelul de depanare, iar corectarea acesteia este mult mai puțin costisitoare decât anularea migrării.

Întrebări frecvente

Muți o platformă diferită la HTTPS, sau vrei procedura generală? Vezi ghidul nostru despre cum să treci un site de la HTTP la HTTPS.