Passer votre site en HTTPS et corriger le contenu mixte

Votre certificat SSL est installé, et pourtant le navigateur affiche toujours « Non sécurisé », un cadenas barré ou un avertissement dans la console ? C'est presque toujours du contenu mixte : la page est servie en HTTPS, mais certains éléments sont encore appelés en HTTP. Ce guide explique comment basculer complètement votre site en HTTPS et corriger ces éléments, en particulier sur WordPress.

Avant de commencer

• Le certificat gratuit doit être actif sur votre domaine, voir Activer le certificat SSL gratuit.
• Créez une sauvegarde de votre site depuis Sauvegardes avant de modifier les adresses en masse, voir Restaurer une sauvegarde de votre site.
• Gardez sous la main vos accès à l'administration de votre site (WordPress ou autre).

Passer votre site en HTTPS étape par étape

1. Ouvrez votre hébergement dans votre espace client, puis SSL.
2. Si le domaine est indiqué non sécurisé, cliquez sur Installer.
3. Activez Rediriger HTTP vers HTTPS.
4. Dans l'administration de votre site, remplacez l'adresse en http:// par https://. Sur WordPress : Réglages, Général, champs « Adresse web de WordPress » et « Adresse web du site ».
5. Remplacez les anciennes adresses en http:// présentes dans vos contenus (images, liens internes, menus, widgets).
6. Videz les caches : extension de cache, navigateur, et éventuel réseau de diffusion (CDN).
7. Ouvrez plusieurs pages en navigation privée et vérifiez que le cadenas s'affiche partout.

Qu'est-ce que le contenu mixte ?

On parle de contenu mixte quand une page chargée en https:// appelle des ressources en http:// : une image, une police, un script, une vidéo intégrée, une feuille de style. Ces ressources ne sont pas chiffrées, donc le navigateur considère la page comme partiellement sécurisée.

Il en existe deux sortes :

• Le contenu mixte passif (images, vidéos, sons) : le navigateur l'affiche souvent, mais retire le cadenas ou affiche un avertissement.
• Le contenu mixte actif (scripts, feuilles de style, iframes) : le navigateur le bloque. Résultat : une mise en page cassée, un menu qui ne s'ouvre plus, un formulaire qui ne s'envoie pas.

Comment trouver les éléments en HTTP ?

1. Ouvrez la page concernée dans Chrome, Firefox, Edge ou Safari.
2. Ouvrez les outils de développement (touche F12, ou clic droit puis « Inspecter »).
3. Allez dans l'onglet Console : chaque élément en contenu mixte y est listé avec son adresse complète.
4. Notez d'où vient chaque adresse : un article, le thème, une extension, un widget.

Vous pouvez aussi afficher le code source de la page et rechercher http:// pour repérer les appels restants.

Corriger le contenu mixte sur WordPress

• Adresses du site : vérifiez dans Réglages, Général que les deux adresses commencent par https://.
• Contenus déjà publiés : les images insérées avant le passage en HTTPS gardent leur ancienne adresse dans la base de données. Une extension de recherche et remplacement permet de remplacer http://votre-domaine.fr par https://votre-domaine.fr dans toute la base. Faites une sauvegarde juste avant.
• Thème et constructeur de pages : certains thèmes enregistrent des adresses complètes dans leurs propres réglages (logo, image de fond, polices). Ouvrez leurs options et enregistrez à nouveau les images.
• Extensions anciennes : une extension qui appelle un script externe en http:// doit être mise à jour ou remplacée, voir Mettre à jour WordPress, les extensions et les thèmes.
• Code personnalisé : dans les fichiers du thème enfant, remplacez les adresses en dur par des adresses en https:// ou relatives.

Corriger le contenu mixte sur un site fait à la main

Ouvrez les fichiers de votre site dans Fichiers ou en FTP, voir Se connecter en FTP ou SFTP, et remplacez les adresses http:// de vos images, scripts et feuilles de style. Pour vos propres ressources, une adresse relative (/images/logo.png) fonctionne quel que soit le protocole. Pour une ressource externe (police, bibliothèque, vidéo), utilisez sa version en https:// : presque tous les services en proposent une.

Le passage en HTTPS fait-il perdre du référencement ?

Non, s'il est bien fait. La redirection envoie visiteurs et moteurs de recherche vers la version sécurisée, et Google transfère le classement vers les nouvelles adresses. Pour accélérer la prise en compte :

• Ajoutez la version https:// de votre site dans la Search Console et envoyez-y votre plan du site.
• Mettez à jour les liens de vos profils (réseaux sociaux, annuaires, fiche d'établissement).
• Vérifiez que vos balises canoniques et votre plan du site utilisent https://.

Questions fréquentes

Pourquoi mon site est-il « Non sécurisé » alors que j'ai un certificat SSL ?

Soit la redirection vers HTTPS n'est pas activée et vous consultez la version en http://, soit la page contient du contenu mixte. Activez Rediriger HTTP vers HTTPS, puis regardez la console du navigateur pour trouver les éléments encore en HTTP.

Comment forcer le HTTPS sur mon site ?

Ouvrez votre hébergement, puis SSL, et activez Rediriger HTTP vers HTTPS. Tous les visiteurs arrivent alors automatiquement sur la version sécurisée.

Pourquoi ma mise en page est-elle cassée après le passage en HTTPS ?

Une feuille de style ou un script est probablement encore appelé en http:// et bloqué par le navigateur. La console des outils de développement indique précisément lequel.

Je n'arrive plus à me connecter à WordPress après avoir changé l'adresse, que faire ?

Vérifiez que le certificat est bien installé et que l'adresse saisie est exacte, sans faute de frappe. Si vous êtes bloqué, restaurez la sauvegarde faite avant la modification, voir Restaurer une sauvegarde de votre site, ou ouvrez un ticket.

Faut-il refaire le passage en HTTPS à chaque renouvellement du certificat ?

Non. Le certificat est renouvelé automatiquement et la redirection reste active. Le passage en HTTPS se fait une seule fois.