Certificat SSL gratuit : passer son site en HTTPS

Sans certificat, les navigateurs affichent « Non sécurisé » à côté de l'adresse, ce qui suffit à faire fuir une partie des visiteurs, surtout sur une page de contact ou de paiement.

À quoi sert le certificat

Il remplit deux rôles. Il chiffre ce qui circule : un mot de passe, un formulaire ou un numéro de commande ne passe plus en clair sur le réseau, y compris sur un Wi-Fi public. Il prouve l'identité du site : l'autorité qui l'a délivré a vérifié que le demandeur contrôle bien le nom de domaine.

Un certificat gratuit chiffre exactement aussi bien qu'un certificat payant. Les certificats payants apportent surtout une vérification de l'organisation, une garantie commerciale ou des usages particuliers ; pour un site vitrine ou une boutique, le certificat gratuit suffit.

Let's Encrypt en bref

Let's Encrypt est une autorité de certification à but non lucratif. Selon sa FAQ, consultée le 14 octobre 2026 :

• ses certificats sont gratuits ;
• ils sont valables 90 jours, avec un renouvellement conseillé tous les 60 jours ;
• des certificats de six jours existent pour ceux qui les choisissent.

La courte durée n'est pas un défaut : elle oblige à automatiser le renouvellement, ce qui supprime le risque d'un certificat oublié qui expire.

Passer un site en HTTPS

Les étapes, sur un hébergement qui propose Let's Encrypt dans son panneau :

1. Vérifiez que le domaine pointe vers votre hébergement. L'autorité contrôle le domaine en le joignant : s'il pointe ailleurs, la demande échoue.
2. Demandez le certificat dans le panneau de l'hébergement, pour le domaine nu et pour sa version avec « www ».
3. Activez la redirection permanente de HTTP vers HTTPS, pour que toutes les anciennes adresses mènent à la version chiffrée.
4. Mettez à jour l'adresse du site dans WordPress. Dans Réglages, puis Général, les champs « Adresse web de WordPress » et « Adresse web du site » doivent commencer par https.
5. Corrigez le contenu mixte (voir plus bas), puis vérifiez le cadenas sur plusieurs pages.
6. Signalez la nouvelle adresse à la Search Console si votre site y est déclaré, et vérifiez que le plan du site donne les adresses en https.

Le contenu mixte

Une page servie en HTTPS qui charge une image, un script ou une police en HTTP est dite « mixte ». Le navigateur bloque une partie de ces éléments ou retire le cadenas. Le cas typique : des images insérées avant le passage en HTTPS, dont l'adresse complète commence encore par http.

Pour les trouver, ouvrez les outils de développement du navigateur, onglet Console : les éléments en cause y sont listés. Pour les corriger sur WordPress, remplacez les anciennes adresses dans la base de données, avec un outil de recherche et remplacement ou avec WP-CLI quand vous avez un accès SSH, après une sauvegarde.

Quand le renouvellement échoue

Un renouvellement automatique échoue surtout dans trois cas : le domaine ne pointe plus vers le serveur, un pare-feu ou un service placé devant le site bloque la vérification, ou le domaine a changé de serveurs de noms. Le navigateur affiche alors un avertissement plein écran à l'expiration. Surveillez les courriels de votre hébergeur et la date d'expiration affichée dans le panneau.

Chez Hubspace

Sur les sites que nous hébergeons, le certificat Let's Encrypt est posé et renouvelé sans intervention de votre part, et WordPress est installé directement en HTTPS. Il fait partie des protections comprises dans toutes nos offres. Si votre site passe derrière Cloudflare, le chiffrement se règle aussi de ce côté : voir Qu'est-ce que Cloudflare.

Questions fréquentes