Corriger le contenu mixte après le passage de WordPress à HTTPS

Vous avez installé un certificat SSL, mais le navigateur affiche encore « Non sécurisé », un cadenas avec un avertissement, ou certaines images et certains styles manquent. C’est un problème de contenu mixte : la page se charge en HTTPS, mais certains de ses fichiers utilisent encore HTTP sans chiffrement, et les navigateurs les bloquent ou les signalent.

Le contenu mixte nuit à la confiance, peut perturber les mises en page et les formulaires, et affecte le SEO. Voici comment trouver chaque lien non sécurisé et le corriger correctement.

Étape 1 : vérifier que votre certificat SSL fonctionne

Ouvrez https://yourdomain.com et cliquez sur le cadenas ou l’icône d’informations du site. Le certificat doit être valide, émis pour votre domaine exact et non expiré. Vérifiez les versions avec www et sans www. La plupart des hébergeurs proposent des certificats Let’s Encrypt gratuits à renouvellement automatique. Vérifiez que le vôtre couvre les deux adresses.

Étape 2 : configurer WordPress pour utiliser HTTPS

Dans wp-admin, ouvrez Réglages → Général et modifiez à la fois Adresse web de WordPress (URL) et Adresse web du site (URL) pour qu’elles commencent par https://. Enregistrez et reconnectez-vous si cela vous est demandé.

Si les champs sont grisés, ils sont définis dans wp-config.php avec WP_HOME et WP_SITEURL. Modifiez-les dans ce fichier.

Étape 3 : remplacer les anciens liens HTTP dans la base de données

Vos articles, pages, widgets, mises en page de constructeur et réglages de thème contiennent encore des liens http:// inscrits en dur vers des images et des pages. Remplacez-les avec un outil de recherche et remplacement adapté aux bases de données, qui gère correctement les données sérialisées :

• Avec une extension comme Better Search Replace, recherchez http://yourdomain.com et remplacez par https://yourdomain.com. Effectuez d’abord une simulation pour voir le nombre de modifications prévues.
• Avec WP-CLI : wp search-replace 'http://yourdomain.com' 'https://yourdomain.com' --all-tables --dry-run, puis relancez la commande sans --dry-run.

N’exécutez pas de simple requête SQL REPLACE sur des données sérialisées. Elle corrompt les réglages des constructeurs de pages et des widgets.

Si vous utilisez Elementor, ouvrez aussi Elementor → Outils → Remplacer l’URL, puis Régénérer les fichiers & les données.

Étape 4 : repérer les fichiers non sécurisés restants

Ouvrez une page qui affiche encore un avertissement, appuyez sur F12 et consultez l’onglet Console. Chaque avertissement de contenu mixte indique l’URL exacte chargée en HTTP. Éléments souvent oubliés :

• Images ou polices inscrites en dur dans les fichiers CSS ou les modèles du thème
• Scripts de services tiers (anciennes intégrations, widgets de discussion, codes de suivi) utilisant http://
• Widgets HTML personnalisés et extraits de code dans l’en-tête ou le pied de page
• Liens dans les réglages de personnalisation du thème

Passez chaque adresse en https://. Si un service externe ne prend pas du tout en charge HTTPS, remplacez-le ou supprimez-le.

Étape 5 : rediriger tout le trafic HTTP vers HTTPS

Les visiteurs et moteurs de recherche qui utilisent d’anciens liens http:// doivent être dirigés vers la version sécurisée par une redirection permanente 301. Beaucoup d’hébergeurs proposent une option « Forcer HTTPS » dans leur panneau. Sur Apache ou LiteSpeed, vous pouvez ajouter ceci en haut de .htaccess :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [L,R=301]

N’utilisez qu’une seule méthode. Deux systèmes de redirection différents peuvent créer une boucle. Si cela se produit, consultez notre guide sur la boucle de redirection à la connexion WordPress.

Étape 6 : vider les caches et vérifier à nouveau

Purgez votre extension de cache, le cache du serveur et le CDN, puis rechargez la page dans une fenêtre privée. Le cadenas ne doit présenter aucun avertissement sur chaque page testée : accueil, article, fiche produit, page de contact et page de paiement.

Étape 7 : prévenir les moteurs de recherche

• Dans Google Search Console, ajoutez la version https:// (ou utilisez une propriété de domaine qui couvre les deux versions) et envoyez votre sitemap.
• Mettez à jour l’adresse de votre site dans Google Business Profile, vos profils sociaux et vos signatures d’e-mail.
• Vous pouvez ajouter un en-tête HSTS une fois que tout fonctionne pour que les navigateurs utilisent toujours HTTPS.

Questions fréquentes

Une extension de type « Really Simple SSL » suffit-elle ?

Ces extensions peuvent corriger beaucoup de liens à la volée, mais elles réécrivent le contenu à chaque chargement de page. Corriger les liens une fois dans la base est plus propre et plus rapide. Certains sites utilisent les deux : la correction de la base et l’extension pour les cas particuliers.

Le contenu mixte affecte-t-il le SEO ?

HTTPS est un signal de classement, et les avertissements « Non sécurisé » réduisent la confiance et les conversions. Les scripts bloqués peuvent aussi perturber les formulaires et le paiement, avec un coût supérieur à une baisse du classement.

Pourquoi certaines images se chargent-elles encore en HTTP après la recherche et le remplacement ?

Elles sont probablement inscrites en dur dans les fichiers du thème, le CSS ou des intégrations tierces, qu’une recherche dans la base ne modifie pas. La console du navigateur les répertorie.