Passer son site WordPress en HTTPS sans risque

Votre navigateur affiche « Non sécurisé » à côté de l'adresse de votre site. Un client hésite avant de remplir votre formulaire. Ou pire : vous avez activé un certificat, et maintenant la moitié de vos images ont disparu et Google indexe deux versions de chaque page. Passer au HTTPS paraît simple : un cadenas, et c'est fini. En réalité, c'est une petite migration, avec quelques pièges bien connus.

Le HTTPS chiffre les échanges entre le visiteur et votre site grâce à un certificat (SSL/TLS). Il protège les données saisies (formulaires, comptes, paiements), rassure les visiteurs et fait partie des bonnes pratiques attendues aujourd'hui. Pour Google, c'est un signal de classement léger : la raison principale de basculer est la confiance et la sécurité, pas le gain de position.

Les étapes de la bascule

1. Sauvegarder le site. Le passage modifie des adresses en base de données : voir sauvegarder son site WordPress. Si possible, répétez d'abord l'opération sur une copie de test.
2. Obtenir et activer le certificat. Beaucoup d'hébergeurs en fournissent un gratuitement et l'activent depuis l'espace client. Vérifiez qu'il couvre votre nom de domaine, avec et sans « www » (voir choisir son nom de domaine).
3. Vérifier que le site répond en HTTPS. Ouvrez l'adresse commençant par https:// : le cadenas doit s'afficher, sans avertissement.
4. Mettre à jour les adresses WordPress. Dans Réglages > Général, l'« adresse WordPress » et l'« adresse du site » doivent commencer par https://. Sur les versions récentes, un outil de bascule apparaît dans la Santé du site quand le site est éligible.
5. Remplacer les anciennes adresses en base de données. Les images et liens insérés dans vos contenus gardent l'ancienne adresse en http://. Un outil de recherche-remplacement adapté à WordPress les met à jour ; évitez le remplacement à la main, qui peut corrompre des données.
6. Rediriger tout le trafic HTTP vers HTTPS. Par une redirection permanente (301), au niveau du serveur (fichier .htaccess ou réglage de l'hébergeur) ou d'une extension.
7. Corriger les contenus mixtes. Une page chargée en HTTPS qui appelle une image ou un script en HTTP provoque un avertissement ou un élément bloqué.
8. Prévenir les outils qui suivent le site. Voir le tableau ci-dessous.

Ne pas casser le référencement

La bascule se passe bien quand chaque ancienne adresse renvoie une fois vers sa jumelle en HTTPS. Après l'opération :

• ajoutez la version HTTPS dans la Search Console (ou utilisez une propriété de domaine, qui couvre les deux) ;
• vérifiez que le sitemap ne liste que des adresses en HTTPS ;
• contrôlez la balise canonical de vos pages clés ;
• surveillez le rapport d'indexation, comme expliqué dans pages non indexées, pendant les semaines qui suivent : quelques mouvements sont normaux, une chute durable ne l'est pas.

Les erreurs à éviter

• activer le certificat sans mettre à jour les adresses et sans redirection ;
• laisser des contenus mixtes ;
• oublier la version avec ou sans « www » ;
• laisser expirer le certificat : vérifiez son renouvellement automatique et sa date de fin ;
• faire l'opération sans sauvegarde, un vendredi soir.

Le suivi du certificat, des redirections et de l'indexation fait partie de la maintenance WordPress, réalisée à distance et sur devis.

À lire aussi : Redirections 301 sur WordPress : mode d'emploi, Changer d'hébergeur WordPress, étape par étape.