Passer son site en HTTPS, pas à pas

Un WordPress installé par nos soins démarre déjà en HTTPS. Ce guide sert surtout pour un site arrivé d'ailleurs, encore en HTTP, ou pour vérifier qu'une bascule a été faite jusqu'au bout. Les notions de base, à quoi sert le certificat et ce qu'est le contenu mixte, sont dans Certificat SSL gratuit, et le fonctionnement du certificat lui-même dans Certificat SSL : comment ça marche.

Avant de commencer

• Le domaine doit pointer vers votre hébergement : Let's Encrypt vérifie le domaine en le joignant. Voir Pointer son domaine vers Hubspace.
• Faites une sauvegarde du site avant de modifier la base de données : voir Sauvegarder un site WordPress.
• Si le site passe par Cloudflare, réglez d'abord le chiffrement de ce côté : voir Configurer Cloudflare devant son site.

1. Vérifier le certificat dans Plesk

Les intitulés suivent la documentation de Plesk sur l'extension de certificats, relue le 14 octobre 2026 ; la version française de l'écran peut légèrement différer.

1. Dans votre espace client, ouvrez votre service d'hébergement et cliquez sur « Se connecter à Plesk ».
2. Dans Sites Web & Domaines, cliquez sur Certificats SSL/TLS sous le nom de votre domaine.
3. Vérifiez qu'un certificat est en place et qu'il couvre le domaine et sa version avec www.
4. S'il manque, installez le certificat gratuit de Let's Encrypt depuis cet écran. La marche à suivre détaillée est dans « Votre connexion n'est pas privée », section « Réémettre le certificat dans Plesk ».

2. Rediriger HTTP vers HTTPS

La redirection permanente envoie chaque ancienne adresse en http vers sa version en https, avec le code 301. Selon la documentation de Plesk sur les paramètres d'hébergement, les moteurs de recherche n'indexent alors que la version HTTPS, sans perte de référencement.

1. Sur l'écran Certificats SSL/TLS du domaine, vérifiez que l'option de redirection de HTTP vers HTTPS est activée. Selon sa documentation, Plesk l'active par défaut sur une installation neuve d'Obsidian.
2. La même option existe dans Hébergement et DNS, puis Hébergement, sous le nom de redirection permanente 301 de HTTP vers HTTPS. Si elle est grisée, écrivez-nous depuis votre espace client.
3. Contrôlez le résultat depuis un terminal, en remplaçant exemple.fr par votre domaine :

curl -sI http://exemple.fr | grep -i -E '^(HTTP|location)'

La réponse doit contenir le code 301 et une ligne location qui commence par https.

3. Mettre à jour les adresses de WordPress

1. Dans l'administration de WordPress, ouvrez Réglages, puis Général.
2. Dans les champs « Adresse web de WordPress (URL) » et « Adresse web du site (URL) », remplacez http par https.
3. Enregistrez. WordPress vous déconnecte : reconnectez-vous à la nouvelle adresse.

Si ces deux champs sont grisés, les adresses sont fixées dans le fichier wp-config.php par les constantes WP_HOME et WP_SITEURL, décrites dans la documentation de wp-config.php. Modifiez-les dans ce fichier, par le gestionnaire de fichiers de Plesk.

4. Corriger le contenu mixte

Les images, liens et scripts insérés avant le passage gardent leur adresse en http dans la base de données. Le navigateur les bloque ou retire le cadenas.

1. Ouvrez une page du site, puis les outils de développement du navigateur, onglet Console : les éléments chargés en HTTP y sont signalés.
2. Remplacez les anciennes adresses dans la base avec WP-CLI. Lancez d'abord un essai, qui montre ce qui changerait sans rien enregistrer :

wp search-replace 'http://exemple.fr' 'https://exemple.fr' --skip-columns=guid --dry-run

3. Si le rapport est cohérent, relancez la même commande sans --dry-run. Faites de même pour la version avec www si votre site l'utilise.

La commande traite les données sérialisées de WordPress, selon la documentation de search-replace. Une adresse écrite en dur dans un fichier du thème ou dans une feuille de style ne se trouve pas dans la base : corrigez-la dans le fichier.

WP-CLI en ligne de commande demande un accès SSH, ouvert à partir de l'offre Sérénité. Sur Départ, Sérénité et Business, WP Toolkit donne aussi accès à WP-CLI depuis son interface.

5. Activer HSTS, seulement à la fin

HSTS demande aux navigateurs de ne plus jamais joindre le site en HTTP. Plesk le propose sur l'écran Certificats SSL/TLS, avec une durée appelée Max-age. La documentation de Plesk prévient : si le certificat expire avant la fin de cette durée, les visiteurs ne peuvent plus accéder au site.

• Ne l'activez qu'une fois le site vérifié en HTTPS sur toutes ses pages.
• Laissez décochée l'option qui l'étend au webmail : sur nos serveurs, le webmail ne présente pas de certificat à votre nom.
• N'étendez HSTS aux sous-domaines que s'ils ont tous un certificat valide.

HSTS n'est pas indispensable : la redirection de l'étape 2 suffit pour la plupart des sites.

6. Prévenir Google

Si votre site est déclaré dans la Search Console avec une propriété de type Domaine, elle couvre déjà les versions http et https, d'après l'aide de la Search Console. Avec une propriété de type Préfixe de l'URL, ajoutez celle qui commence par https. Dans les deux cas, vérifiez que le plan du site donne des adresses en https.

Questions fréquentes