Comment installer SSL sur WordPress

WordPress propulse 43% du web. Ajouter SSL/HTTPS implique trois étapes : obtenir un certificat, l’installer sur votre serveur et mettre à jour WordPress pour utiliser les URL HTTPS. Ce guide couvre les trois.

Étape 1 : Obtenir un certificat

La plupart des hébergeurs WordPress incluent un SSL gratuit — vérifiez d’abord :

Si votre hébergeur ne fournit pas de SSL, obtenez un certificat gratuit de GetHTTPS et installez-le via cPanel, Nginx ou Apache.

Étape 2 : Mettre à jour les URL WordPress

Après l’installation du certificat sur le serveur, indiquez à WordPress d’utiliser HTTPS :

Méthode A : Réglages WordPress (le plus simple)

1. Allez dans Réglages → Général
2. Changez les deux URL de http:// à https:// :
   • Adresse web de WordPress (URL) : https://votredomaine.com
   • Adresse web du site (URL) : https://votredomaine.com
3. Cliquez sur Enregistrer les modifications

Vous serez déconnecté — reconnectez-vous à la nouvelle URL https://.

Méthode B : wp-config.php (si vous ne pouvez pas accéder au tableau de bord)

Ajoutez avant /* That's all, stop editing! */ :

define('WP_HOME', 'https://votredomaine.com');
define('WP_SITEURL', 'https://votredomaine.com');
define('FORCE_SSL_ADMIN', true);

Étape 3 : Corriger le contenu mixte

WordPress stocke des URL absolues dans la base de données (contenu des articles, images, texte des widgets). Après le passage à HTTPS, les anciennes références http:// provoquent des avertissements de contenu mixte.

Correction rapide : plugin Really Simple SSL

1. Installez le plugin Really Simple SSL
2. Activez-le — il détecte votre certificat et corrige la plupart du contenu mixte automatiquement
3. Il ajoute l’en-tête upgrade-insecure-requests et réécrit les URL dynamiquement

Correction permanente : rechercher-remplacer dans la base de données

Pour une solution propre sans dépendance à un plugin :

# Avec WP-CLI (recommandé)
wp search-replace 'http://votredomaine.com' 'https://votredomaine.com' --all-tables

Ou utilisez le plugin Better Search Replace :

1. Rechercher : http://votredomaine.com
2. Remplacer par : https://votredomaine.com
3. Sélectionner toutes les tables
4. Exécuter (faire un essai à blanc d’abord)

SQL manuel (avancé)

UPDATE wp_options SET option_value = REPLACE(option_value, 'http://votredomaine.com', 'https://votredomaine.com') WHERE option_name IN ('home', 'siteurl');
UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://votredomaine.com', 'https://votredomaine.com');
UPDATE wp_postmeta SET meta_value = REPLACE(meta_value, 'http://votredomaine.com', 'https://votredomaine.com');

Étape 4 : Configurer la redirection HTTP → HTTPS

Assurez-vous que tous les visiteurs reçoivent HTTPS, même s’ils tapent http:// :

.htaccess (Apache — le plus courant pour WordPress)

Ajoutez en haut de votre fichier .htaccess (avant les règles WordPress) :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Nginx

server {
    listen 80;
    server_name votredomaine.com www.votredomaine.com;
    return 301 https://$host$request_uri;
}

Consultez notre guide complet de redirection.

Étape 5 : Mettre à jour les services externes

Après la migration vers HTTPS, mettez à jour vos URL dans :

• Google Search Console — ajouter la propriété https://
• Google Analytics — Paramètres → URL par défaut → changer en https://
• Sitemap — régénérer avec des URL https:// (Yoast/Rank Math le fait automatiquement)
• Profils sociaux — liens Facebook, Twitter vers votre site
• CDN — si vous utilisez un CDN, assurez-vous qu’il sert en HTTPS

Vérification

1. Visitez https://votredomaine.com — l’icône du cadenas devrait apparaître
2. Ouvrez les Outils de développement (F12) → Console — vérifiez les avertissements de contenu mixte
3. Testez quelques pages internes et articles de blog
4. Vérifiez Google Search Console pour les erreurs de crawl

Dépannage

Boucle de redirection après activation de HTTPS

Courant lorsque vous êtes derrière un proxy (Cloudflare, load balancer). Le proxy envoie HTTP à WordPress, qui redirige vers HTTPS, que le proxy renvoie en HTTP. Correction :

// Ajouter à wp-config.php si derrière un proxy
if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
    $_SERVER['HTTPS'] = 'on';
}

“Votre connexion n’est pas privée” après l’installation SSL

Le certificat n’est peut-être pas correctement installé au niveau du serveur. Vérifiez la configuration du serveur (Nginx ou Apache) avant de dépanner WordPress.

Certaines images/ressources se chargent encore en HTTP

Exécutez le rechercher-remplacer dans la base de données (Étape 3). Vérifiez les fichiers du thème et le CSS personnalisé pour des URL http:// codées en dur. Utilisez l’en-tête CSP upgrade-insecure-requests comme filet de sécurité.

Questions fréquemment posées

Ai-je besoin d’un plugin pour SSL sur WordPress ?

Non. Un plugin comme Really Simple SSL facilite la transition (surtout pour le contenu mixte), mais il n’est pas obligatoire. Vous pouvez mettre à jour les URL manuellement et ajouter des redirections dans .htaccess. Le plugin ajoute une légère surcharge à chaque chargement de page.

Le passage à HTTPS affectera-t-il mon SEO ?

Temporairement, il peut y avoir de légères fluctuations de classement pendant que Google recrawle votre site. À long terme, HTTPS améliore le SEO — c’est un signal de classement Google. Utilisez des redirections 301 de HTTP vers HTTPS pour que l’équité des liens soit transférée.

Puis-je utiliser un certificat Let’s Encrypt gratuit avec WordPress ?

Oui. Les certificats Let’s Encrypt fonctionnent avec n’importe quel site web, y compris WordPress. Obtenez-en un de GetHTTPS et installez-le sur votre serveur ou via cPanel. Le certificat ne sait pas et ne se soucie pas que WordPress tourne derrière.

Comment renouveler le certificat pour WordPress ?

Le certificat est installé au niveau du serveur, pas dans WordPress. Renouvelez-le en obtenant un nouveau certificat et en remplaçant les fichiers sur votre serveur. WordPress lui-même ne gère pas les certificats.

Qu’en est-il de WooCommerce / e-commerce sur WordPress ?

Un certificat DV gratuit Let’s Encrypt est suffisant pour WooCommerce. PCI DSS n’exige pas de certificats OV ou EV — il exige le chiffrement, que le DV fournit. Votre passerelle de paiement (Stripe, PayPal, Square) gère les données de carte de paiement les plus sensibles de toute façon.

Puis-je utiliser WordPress Multisite avec SSL ?

Oui. Pour WordPress Multisite avec des sous-domaines (par ex., site1.example.com, site2.example.com), utilisez un certificat wildcard (*.example.com). Pour Multisite avec des sous-répertoires (par ex., example.com/site1/), un certificat de domaine unique suffit.

Mon hébergeur dit qu’il fournit du SSL gratuit — ai-je quand même besoin de GetHTTPS ?

Si votre hébergeur fournit un SSL gratuit (via AutoSSL ou un système similaire), utilisez-le — c’est le chemin le plus simple. GetHTTPS est destiné aux cas où votre hébergeur n’offre pas de SSL gratuit, vous avez besoin d’un type de certificat spécifique (wildcard, multi-domaine), ou vous voulez contrôler la clé privée vous-même.