Un internaute clique sur votre annonce. Vous avez payé ce clic. La page se charge, et dans son navigateur s'affiche un avertissement : « Non sécurisé ». En une demi-seconde, il repart. Vous venez de financer son départ. Voilà l'effet, jour après jour, d'un site WordPress resté sans certificat SSL sur chaque euro de votre acquisition. Passer un site WordPress en HTTPS n'est donc pas un réglage technique de plus : c'est la condition pour que votre trafic cesse de rebondir sur un cadenas barré.
Ce guide vous montre chaque étape, de l'hébergeur au serveur web : vérifier le certificat, activer le SSL, forcer la redirection de HTTP vers HTTPS et corriger le contenu mixte. Une opération simple, souvent gratuite grâce à Let's Encrypt, mais qui change tout. Car le chiffrement du protocole ne protège pas seulement les données de vos visiteurs : il installe, dès la première connexion, la confiance sans laquelle aucune conversion n'existe. Le cadenas vert n'est pas un détail de sécurité. C'est votre première promesse tenue.
🚀 Chez Kobalt, nous ne vendons pas de la visibilité, nous vendons des leads. Sur la question du HTTPS, notre lecture est simple : un site en HTTP est un tunnel de conversion percé. Chaque euro d'acquisition digitale que vous injectez dans Google Ads ou Meta Ads se heurte à un avertissement de sécurité avant même votre proposition de valeur. Sécuriser son site WordPress avec HTTPS, c'est colmater la première fuite.
HTTPS ou HTTP : quelle différence pour votre site (et pour vos leads) ?
Avant de toucher au moindre réglage, comprenez ce que vous changez. La bascule ne modifie pas l'apparence de votre site. Elle change ce que le navigateur, Google et vos visiteurs pensent de lui.
Ce que change concrètement le passage au HTTPS
HTTPS signifie "Hyper Text Transfer Protocol Secure". Derrière l'acronyme, trois effets concrets se cumulent.
- Le premier est le chiffrement. HTTPS crypte les données entre votre site et les visiteurs : formulaires, identifiants, informations de paiement circulent sous une couche de chiffrement que personne ne peut lire en interceptant la connexion. Sur un site en HTTP, ces mêmes données transitent en clair.
- Le deuxième est la confiance. Le navigateur affiche un petit cadenas vert quand la connexion est sécurisée, et un avertissement explicite quand elle ne l'est pas. Vérifier l'identité du site web avec HTTPS devient un réflexe pour l'internaute : il refuse de laisser son mail ou son numéro sur une page marquée « Non sécurisée ».
- Le troisième est le référencement. Google a fait du HTTPS un facteur de classement. Améliorer votre SEO avec HTTPS ne vous propulsera pas seul en première position, mais rester en HTTP vous handicape face à des concurrents déjà chiffrés.
📖 Définitions
HTTP vs HTTPS : le « S » final signale une connexion chiffrée.
SSL / TLS : le SSL est l'ancêtre, le TLS son successeur moderne ; par habitude, on parle encore de « certificat SSL » alors que la technologie utilisée aujourd'hui est le TLS.
Certificat SSL : le fichier qui prouve l'identité de votre domaine et autorise le chiffrement. Sans lui, pas de HTTPS possible.
Pourquoi un site en HTTP saborde votre coût d'acquisition
Un visiteur qui arrive sur votre site par une recherche organique tolère parfois l'avertissement. Un visiteur qui arrive par un clic publicitaire, non. Reprenez le trajet d'un euro d'acquisition digitale. Vous payez un clic sur Google Ads. L'internaute atterrit sur votre landing page. Si cette page est en HTTP, son navigateur affiche « Non sécurisé » dans la barre d'adresse au moment exact où il devait vous faire confiance. Résultat : il rebondit. Vous avez payé le clic, vous n'aurez jamais le lead. Le coût d'acquisition de ce client n'a pas augmenté, il est devenu infini.
C'est là que le HTTPS quitte le registre technique pour entrer dans le registre financier. Ce n'est pas une case de conformité, c'est le sol sur lequel repose chaque campagne. Une landing page qui convertit à 4 % en HTTPS peut tomber sous 1 % en HTTP, non pas à cause de votre offre, mais à cause d'un cadenas barré.
🧠 Chez Kobalt, nous sommes convaincus qu'on ne pilote pas une acquisition sur un site qui inspire la méfiance dès la première seconde. Optimiser des enchères, affiner un ciblage, retravailler une créa : tout cela est vain si la destination du clic déclenche un signal d'alerte. Le HTTPS n'améliore pas vos campagnes, il les rend possibles. C'est exactement le travail que nous faisons dans notre agence digitale.
Avez-vous déjà un certificat SSL, ou faut-il en obtenir un ?
Ne générez rien avant d'avoir vérifié. Dans la majorité des cas, votre hébergement inclut déjà de quoi activer le SSL sur un site WordPress sans rien acheter.
Vérifier ce que propose déjà votre hébergeur
La plupart des offres d'hébergement, y compris chez OVH et les acteurs du cloud grand public, intègrent un certificat SSL gratuit, souvent délivré par Let's Encrypt. Il est parfois actif par défaut, parfois à activer d'un clic dans l'espace d'administration de votre hébergeur.
Commencez donc par vérifier que le certificat SSL est actif chez l'hébergeur. Connectez-vous à votre espace client, cherchez la rubrique SSL, TLS ou sécurité, et regardez si un certificat couvre déjà votre nom de domaine. Cette première vérification vous évite parfois toutes les étapes suivantes : sur certains hébergements infogérés, le HTTPS est déjà en place côté serveur et il ne reste qu'à le forcer côté WordPress.
Obtenir un certificat SSL Let's Encrypt gratuit
Si aucun certificat n'est présent, vous devez en obtenir un. Obtenir un certificat SSL est aujourd'hui gratuit dans l'immense majorité des cas grâce à Let's Encrypt, une autorité de certification à but non lucratif dont les certificats sont reconnus par tous les navigateurs.
Concrètement, vous générez le certificat depuis le panneau de votre hébergeur (la fonction porte souvent le nom « Let's Encrypt » ou « SSL gratuit »), vous l'associez à votre domaine, et le serveur web s'occupe du renouvellement automatique tous les trois mois. Vous n'avez ni fichier à manipuler à la main, ni ligne de code à écrire pour cette partie.
Comment passer un site WordPress en HTTPS, étape par étape
Voici le cœur de l'opération. La procédure pour passer son site WordPress en HTTPS tient en quatre étapes. Le tableau ci-dessous vous donne la vue d'ensemble ; le détail suit.
| Étape | Action | Où |
| 1 | Installer et activer le certificat SSL | Espace hébergeur |
| 2 | Modifier l'adresse de WordPress et du site Web | Réglages > Général |
| 3 | Forcer la redirection de HTTP vers HTTPS | .htaccess ou plugin |
| 4 | Sauvegarder avant, vérifier après | Base de données + navigateur |
Ces quatre étapes répondent à la question que tout le monde tape : comment passer un site WordPress en HTTPS, et plus largement, comment migrer WordPress de HTTP vers HTTPS sans perdre de trafic en route.
Étape 1 : installer un certificat SSL sur votre site
Une fois le certificat obtenu (section précédente), il faut l'activer côté serveur. Sur un hébergement mutualisé, installer un certificat SSL sur votre site se résume souvent à cliquer sur « Activer » dans le panneau de gestion. Le serveur associe alors le certificat à votre domaine et la version HTTPS de votre site devient accessible, même si WordPress continue d'afficher des liens en HTTP pour l'instant.
Testez immédiatement : tapez https://votredomaine.fr dans votre navigateur. Si la page se charge sans erreur de certificat, le SSL est bien en place au niveau du serveur. Vous pouvez passer à WordPress.
Étape 2 : modifier l'adresse de WordPress et du site Web
C'est le réglage central. Dans votre tableau de bord, rendez-vous dans Réglages > Général. Deux champs vous attendent : « Adresse web de WordPress (URL) » et « Adresse web du site (URL) ». Il faut modifier l'adresse de WordPress et du site Web pour remplacer http:// par https:// au début de chacune.
⚠️ Sauvegardez avant de valider. Une erreur dans ces deux champs peut vous verrouiller hors de l'administration. Effectuez une sauvegarde complète (fichiers + base de données) avant de toucher à ces réglages. C'est votre assurance : en cas de problème, vous restaurez et vous recommencez.
Enregistrez. WordPress bascule alors son adresse en HTTPS et vous invite à vous reconnecter. Vos nouveaux contenus utiliseront désormais le protocole sécurisé.
Étape 3 : forcer la redirection de HTTP vers HTTPS
Modifier l'adresse ne suffit pas : les anciennes URL en HTTP restent accessibles et Google pourrait indexer les deux versions. Il faut donc rediriger les visiteurs de votre site sur HTTPS de façon systématique, avec une redirection permanente (301). Savoir comment forcer le protocole HTTPS sur votre site WordPress passe par une consigne ajoutée au fichier .htaccess, à la racine de votre installation :
Cette règle indique au serveur web : toute connexion arrivant en HTTP (port 80) doit être renvoyée vers son équivalent en HTTPS. Le code se place avant la section générée par WordPress. Si vous n'êtes pas à l'aise avec la modification manuelle du .htaccess, un plugin fait le même travail sans code (voir la dernière section de ce guide).
Étape 4 : sauvegarder avant, vérifier après
La sauvegarde de l'étape 2 vous couvre. Après la bascule, ne considérez pas l'opération terminée tant que vous n'avez pas contrôlé le résultat, ce qui fait l'objet de la section suivante.
Comment vérifier que votre site est bien passé en HTTPS ?
Vous avez appliqué les étapes. Ne partez pas du principe que tout fonctionne : contrôlez. Trois vérifications, de la plus simple à la plus fine.
- Commencez par le plus évident : vérifier si son site est disponible en HTTPS revient à ouvrir la page d'accueil et à regarder la barre d'adresse. Un cadenas fermé, une URL en https:// : bon signe. Cliquez sur le cadenas pour vérifier l'identité du site web avec HTTPS, le navigateur affiche à qui le certificat a été délivré et jusqu'à quand il est valide.
- Ensuite, contrôlez la couverture. Naviguez sur plusieurs pages (articles, page contact, pages produit) et pas seulement l'accueil. Une seule page qui retombe en HTTP suffit à créer un signal d'alerte. Pour comment vérifier les ressources HTTPS chargées par chaque page, ouvrez les outils de développement de votre navigateur (onglet Console) : les ressources encore appelées en HTTP y apparaissent en avertissement.
- Enfin, déclarez le changement à Google. Dans la Google Search Console, ajoutez la version HTTPS de votre site comme nouvelle propriété et soumettez votre plan de site. Google comprend alors que votre adresse a changé et transfère la valeur SEO de l'ancienne version vers la nouvelle.
Si l'une de ces vérifications révèle un cadenas barré ou un avertissement, le coupable est presque toujours le même : le contenu mixte. Passons au dépannage.
Votre site affiche encore « Non sécurisé » : résoudre les problèmes de SSL de WordPress
Vous avez tout fait dans les règles et le cadenas reste barré. C'est frustrant et c'est fréquent. Voici comment résoudre les problèmes de SSL de WordPress, en commençant par le plus courant.
Comprendre le contenu mixte (mixed content)
Le problème numéro un porte un nom : le contenu mixte, ou mixed content. Votre page se charge en HTTPS, mais elle appelle au moins une ressource (une image, un script, une feuille de style) en HTTP. Le navigateur considère alors que la page entière n'est pas totalement sécurisée et retire le cadenas.
Parmi les problèmes SSL et HTTPS les plus courants sur WordPress, l'insecure content vient presque toujours d'anciens contenus : une image insérée avec une URL en HTTP il y a deux ans, un script d'un service externe mal configuré, une police chargée sans chiffrement. Vérifier les ressources SSL insecure content consiste à traquer ces appels résiduels dans le code de vos pages.
Remplacer les URL en HTTP dans la base de données
La correction de fond consiste à remplacer les URL en HTTP par leur version HTTPS directement dans la base de données, là où WordPress stocke vos contenus. On ne le fait pas à la main, article par article : on utilise un outil de recherche et remplacement.
L'extension Better Search Replace (ou l'équivalent « Search and Replace ») parcourt toute la base et remplace chaque occurrence de http://votredomaine.fr par https://votredomaine.fr. En une opération, vos anciens liens internes, vos images et vos ressources passent en HTTPS. Sauvegardez avant de lancer le remplacement : cette action modifie la base en profondeur.
Corriger les ressources externes et le cache
Restent deux sources d'erreur.
- Les ressources externes d'abord : un service tiers (widget, carte, tracker) appelé en HTTP que vous devez reconfigurer en HTTPS chez le fournisseur.
- Le cache ensuite : après correction, videz le cache de votre plugin de cache et celui de votre navigateur, sans quoi vous continuerez de voir l'ancienne version en HTTP alors que le problème est déjà réglé.
Notez la frontière : tout ce qui précède concerne le chiffrement du transport. Comment sécuriser son site WordPress contre les pirates est une autre question. Le HTTPS protège les données en transit, il n'empêche pas une intrusion. Sécuriser un site WordPress au sens large (mises à jour, mots de passe robustes, pare-feu, sauvegardes) relève d'un chantier distinct que ce guide ne couvre pas.
Plugin ou méthode manuelle : que choisir pour votre migration ?
Deux chemins mènent au HTTPS. Le plugin automatique et le réglage manuel. Aucun n'est « meilleur » dans l'absolu : ils servent des profils différents.
| Critère | Plugin automatique | Méthode manuelle |
| Rapidité | Immédiate | Plus lente |
| Contrôle | Faible | Total |
| Compétence requise | Aucune | Intermédiaire |
| Dette technique | Dépendance au plugin | Aucune |
| Risque | Faible | Moyen si erreur .htaccess |
Le plugin tout-en-un
Le plus connu reste Really Simple SSL. Utiliser le plugin Really Simple SSL détecte automatiquement votre certificat, modifie les adresses, force la redirection et corrige une partie du contenu mixte, le tout en un clic. C'est la solution la plus accessible si vous débutez.
D'autres extensions couvrent le même besoin. Les extensions WP Force SSL forcent le passage en HTTPS de l'ensemble de votre site. Vous pouvez aussi forcer le passage en HTTPS avec le plugin Yoast SEO, qui gère au passage les URL canoniques pour éviter que Google n'indexe deux versions d'une même page. Ces plugins pour sécuriser WordPress avec HTTPS mutualisent la configuration technique.
La limite : un plugin qui force le HTTPS « à la volée » ne corrige pas toujours le contenu mixte à la source, dans la base de données. Il le masque côté affichage. Le jour où vous désactivez le plugin, le problème réapparaît.
La méthode manuelle propre
La méthode manuelle (modification des adresses, règle .htaccess, remplacement des URL en base avec Better Search Replace) demande un peu plus de rigueur mais laisse votre installation propre, sans surcouche permanente. C'est le choix des sites qui veulent limiter le nombre d'extensions et garder la main sur leur configuration.
🧠 Chez Kobalt, nous sommes convaincus qu'un plugin qui masque un problème n'est pas un problème réglé. Sur les sites que nous construisons pour l'acquisition, le HTTPS est corrigé à la source, dans la base, pas déporté sur une extension dont dépend la sécurité affichée. Un tunnel de conversion se bâtit sur des fondations, pas sur des rustines.
Le HTTPS n'est pas la fin, c'est le point de départ
Passer un site WordPress en HTTPS n'est pas la ligne d'arrivée d'un projet technique. C'est la ligne de départ de votre acquisition. Tant que votre site restait en HTTP, chaque campagne payante finançait des rebonds. Une fois le cadenas en place, vos euros de publicité atterrissent enfin sur une page qui inspire confiance dès la première seconde, et votre tunnel de conversion cesse de fuir.
Vous savez désormais obtenir un certificat, modifier vos adresses, forcer la redirection, vérifier la bascule et réparer le contenu mixte. Le reste, transformer ce trafic sécurisé en leads qualifiés, est un travail de stratégie d'acquisition, pas de configuration.
🚀 Votre site est en HTTPS mais votre trafic ne se transforme toujours pas en clients ? C'est exactement le travail de Kobalt : construire des sites et des campagnes conçus pour la conversion, où chaque euro d'acquisition digitale rapporte un lead qualifié, pas une statistique flatteuse. Parlons de votre acquisition.
FAQ
Le passage au HTTPS est-il vraiment gratuit ?
Dans l'immense majorité des cas, oui. Les certificats Let's Encrypt sont gratuits et inclus dans la plupart des offres d'hébergement. Un certificat payant ne se justifie que pour des besoins spécifiques (certificat à validation étendue pour de grandes structures), rarement nécessaire pour un site vitrine ou e-commerce classique.
Le passage en HTTPS va-t-il faire chuter mon référencement ?
Non, l'inverse. Correctement réalisée, avec des redirections 301 et une déclaration dans la Google Search Console, la migration transfère votre valeur SEO vers la version sécurisée. Une chute temporaire de quelques jours est possible le temps que Google réindexe, puis le classement se stabilise et le HTTPS joue en votre faveur.
Combien de temps prend la migration ?
Sur un site récent avec un hébergement moderne, comptez moins d'une heure. Sur un site ancien chargé de contenus en HTTP, l'essentiel du temps passe sur la correction du contenu mixte et la vérification page par page. Le remplacement des URL en base avec un outil dédié accélère considérablement cette partie.
Faut-il prévenir Google du changement ?
Ajoutez la version HTTPS comme nouvelle propriété dans la Google Search Console et soumettez votre plan de site. C'est ce qui signale officiellement à Google que votre adresse a changé et accélère le transfert de la valeur SEO.
Le HTTPS suffit-il à sécuriser mon site WordPress ?
Non, et c'est un malentendu répandu. Le HTTPS chiffre les données échangées entre votre site et vos visiteurs, il ne protège pas contre les intrusions. Comment sécuriser un site WordPress contre les pirates relève d'un autre périmètre, au même titre que la maintenance régulière de votre site WordPress : mises à jour, sauvegardes automatiques, mots de passe robustes, plugin de pare-feu.
Fabien Bertrand Expert Site
"Un site e-commerce n’est pas une vitrine, c’est une machine à générer des ventes"
