Contenu mixte WordPress : retrouver le cadenas

Ce que fait le navigateur

D'après la documentation de MDN sur le contenu mixte, relue le 14 octobre 2026 :

les images, l'audio et la vidéo appelés en HTTP sont réécrits en HTTPS par le navigateur. S'ils n'existent pas en HTTPS, ils ne s'affichent pas ;
les scripts, les feuilles de style, les polices et les cadres appelés en HTTP sont bloqués. La page peut alors s'afficher sans mise en forme, ou un menu cesser de fonctionner.

Un élément appelé par une adresse IP plutôt que par un nom de domaine est bloqué dans tous les cas.

Trouver les éléments en cause

Ouvrez la page concernée dans Chrome, Firefox ou Edge.
Ouvrez les outils de développement (touche F12), onglet Console.
Rechargez la page. Les avertissements « Mixed Content » donnent l'adresse de chaque élément chargé en HTTP.
Notez l'adresse et le type d'élément : une image de la médiathèque, un fichier du thème, un script d'un service extérieur n'appellent pas la même correction.

Si le cadenas manque sur une seule page, le problème est dans le contenu de cette page. S'il manque partout, cherchez dans le thème, un widget ou une extension.

Corriger à la source

Où se trouve l'adresse	Comment la corriger
Contenus, images insérées, menus, réglages d'extensions	remplacer les adresses dans la base de données
Fichier du thème ou feuille de style	modifier le fichier, de préférence dans un thème enfant
Service extérieur (carte, vidéo, police)	utiliser son adresse en https://, ou le retirer s'il n'existe pas en HTTPS
Réglages généraux de WordPress	passer les deux adresses en https:// dans Réglages, puis Général

Pour la base de données, la commande wp search-replace de WP-CLI remplace les anciennes adresses en respectant les données sérialisées de WordPress. La marche à suivre, essai préalable et version avec www comprises, est à l'étape 4 de Passer son site en HTTPS, et la sauvegarde à faire avant dans sa partie « Avant de commencer ». Ne modifiez pas la base à la main dans phpMyAdmin : un remplacement brut casse les données sérialisées.

Les constructeurs de pages gardent parfois leurs propres styles en cache. Après le remplacement, régénérez leurs fichiers CSS depuis leurs réglages, puis videz le cache : voir Vider le cache de WordPress.

En dernier recours : l'en-tête upgrade-insecure-requests

L'en-tête Content-Security-Policy: upgrade-insecure-requests demande au navigateur de charger en HTTPS tout ce que la page appelle en HTTP, scripts compris. Il masque le problème sans le corriger : un élément qui n'existe pas en HTTPS reste introuvable. Réservez-le aux cas où la source ne peut pas être modifiée, et corrigez les adresses dès que possible.

Chez Hubspace

Un WordPress installé par nos soins démarre directement en HTTPS, avec ses deux adresses en https:// : il ne produit pas de contenu mixte à l'installation. Le problème apparaît surtout sur un site migré depuis un autre hébergeur, dupliqué depuis un ancien site, ou passé en HTTPS après coup. WP-CLI s'utilise en ligne de commande à partir de l'offre Sérénité, et depuis l'interface de WP Toolkit sur Départ, Sérénité et Business.

Questions fréquentes

Une extension « SSL » suffit-elle à corriger le contenu mixte ?

Elle peut réécrire les adresses à l'affichage, mais elle ajoute un traitement à chaque page et laisse les anciennes adresses dans la base. Corriger la base règle le problème une fois pour toutes.

Le contenu mixte nuit-il au référencement ?

Il nuit surtout à la confiance : un navigateur qui signale la page comme non sécurisée fait fuir des visiteurs, et des éléments bloqués peuvent casser l'affichage.

Le cadenas est revenu, mais une image manque toujours. Pourquoi ?

Le navigateur a tenté de la charger en HTTPS et n'a rien trouvé à cette adresse. Vérifiez que l'image existe bien en HTTPS, ou remplacez-la par une copie dans votre médiathèque.