Vous n’avez pas encore migré votre site WordPress de HTTP à HTTPS ? Google l’utilise comme facteur de classement dans les recherches et les navigateurs avertissent désormais les utilisateurs lorsqu’un site web n’est pas sécurisé.
Si vous utilisez toujours le protocole HTTP, votre site web est considéré comme non sécurisé.
Cela aura un impact significatif sur le trafic et la confiance.
Protéger votre site web WordPress à l’aide d’un certificat SSL et passer à HTTPS est aussi simple qu’essentiel. C’est également très simple lorsqu’on le décompose en petits morceaux.
C’est l’objet de cet article.
Nous allons vous guider tout au long du processus d’installation d’un certificat SSL et du passage du protocole HTTP non sécurisé au protocole HTTPS, plus sûr et désormais par défaut.
Maîtriser les protocoles HTTP, HTTPS et SSL
Tout d’abord, plantons le décor en expliquant exactement ce que sont HTTP, HTTPS et SSL et ce qu’ils font.
HTTP
HTTP est l’abréviation de Hypertext Transfer Protocol (protocole de transfert hypertexte). Il s’agit d’un protocole réseau utilisé sur le web pour permettre à un navigateur d’aller chercher des fichiers sur un serveur. Tous les messages sont transmis en coulisses et vous ne voyez rien d’autre qu’un petit délai pendant que les messages HTTP sont transmis.
Lorsque vous cliquez sur le lien ou l’URL d’une page web dans votre navigateur :
- Le navigateur demande le fichier au serveur web qui héberge cette page.
- Le serveur répond à cette demande et envoie la page web à votre navigateur.
- Le navigateur affiche la page à l’écran pour que vous puissiez la lire.
Chaque fois que vous changez de page, que vous cliquez sur un lien ou que vous interagissez avec une page web, ce processus se répète.
Lors de l’utilisation du protocole HTTP, tous les messages sont envoyés en clair, c’est-à-dire sans cryptage. Si quelqu’un surveillait votre réseau et reniflait vos données, il pourrait voir exactement ce que vous faites en ligne.
Les connexions HTTP reposent également sur la confiance. Le navigateur se connecte au serveur web et suppose qu’il s’agit du bon serveur et du bon site web. Il récupère le fichier demandé et le télécharge dans votre navigateur sans vérifier s’il est réel ou légitime.
Cela a des conséquences évidentes sur la sécurité !
HTTPS
HTTPS signifie Hypertext Transfer Protocol Secure (protocole de transfert hypertexte sécurisé). Il utilise les mêmes principes que HTTP en ce qui concerne la messagerie et la recherche, mais avec une différence essentielle. Tout le trafic entre votre navigateur et le serveur web est crypté.
HTTPS vérifie également que le serveur auquel il est connecté est légitime et qu’il appartient bien au service auquel vous pensez être connecté.
Pour atteindre ce niveau de sécurité, nous utilisons le protocole SSL.
SSL
SSL est l’abréviation de Secure Sockets Layer (couche de sockets sécurisée). Il est techniquement connu sous le nom de SSL/TLS (Secure Sockets Layer/ Transport Layer Security), mais tout le monde l’appelle SSL.
SSL est un protocole de sécurité internet qui utilise le cryptage pour protéger le trafic entre votre navigateur et un serveur web. Dans le contexte du web et de WordPress, la sécurité SSL est assurée par un certificat appelé certificat SSL.
Un domaine de site web a besoin d’un certificat SSL pour pouvoir utiliser le protocole SSL. Cela fait partie du processus d’authentification qui permet de sécuriser le système.
Le propriétaire d’un site web doit s’adresser à une autorité de certification tierce indépendante pour obtenir un certificat SSL. Ce certificat est accordé pour le domaine, le nom www. du site web.
Les propriétaires doivent prouver qu’ils possèdent le site web et que les informations qu’ils fournissent sont correctes. L’autorité de certification vérifie ces informations et n’accorde un certificat SSL que lorsqu’elle est convaincue que tout est en ordre.
Cela permet de s’assurer que le propriétaire d’un certificat SSL pour un domaine est bien le propriétaire de ce domaine. Cela permet de surmonter l’une des faiblesses du HTTP, à savoir la confiance aveugle dans le fait que votre navigateur est connecté à un serveur web légitime.
Une fois installé dans WordPress, un certificat SSL permet à tout navigateur compatible de demander une connexion cryptée. Cela permet de surmonter la principale faiblesse du protocole HTTP. Il s’agit de l’envoi de tout le trafic en clair.
Fonctionnement de SSL et HTTPS
Le protocole HTTPS fonctionne grâce à un message initiale comprenant deux étapes essentielles : l’échange de certificats et l’échange de clés.
L’échange de certificats est l’étape au cours de laquelle le site web envoie une copie du certificat SSL au navigateur pour prouver qu’il est bien celui qu’il prétend être.
L’échange de clés se fait dans les deux sens. Le serveur web envoie une copie de sa clé publique au navigateur et le navigateur envoie une copie de sa propre clé publique au serveur web.
Ces clés déverrouillent le paquet crypté envoyé entre le serveur web et le navigateur afin que ce dernier puisse comprendre et afficher le fichier, la page web, qu’il a demandé.
Le processus ressemble un peu à ceci :
- Votre navigateur envoie un message d’accueil “ClientHello” au serveur web. Ce message est également appelé “poignée de main”.
- Le navigateur indique au serveur les types de sécurité qu’il peut gérer.
- Le serveur répond par un message “ServerHello” indiquant au navigateur le type de cryptage qu’il utilisera.
- Le serveur envoie ensuite une copie du certificat SSL pour prouver qu’il est bien celui qu’il prétend être.
- Il envoie également la clé publique afin que le navigateur puisse décrypter tout le trafic envoyé par le serveur.
- Le navigateur vérifie le certificat SSL et répond en envoyant une copie de sa propre clé publique afin que le serveur puisse décrypter les futures demandes provenant de ce navigateur.
- Le serveur passe au chiffrement et vérifie si le navigateur a compris le message.
- Le navigateur répond en indiquant au serveur qu’il a pu décrypter le message et la session de navigation se poursuit.
L’ensemble de ce processus ne prend généralement qu’une ou deux secondes. Il n’a lieu qu’une seule fois par session, mais doit être répété chaque fois que vous visitez un nouveau site web ou chaque fois que vous ouvrez votre navigateur pour visiter n’importe quel site web.
Il faut beaucoup plus de temps pour expliquer le fonctionnement du HTTPS avec SSL que pour qu’il fonctionne réellement !
Pourquoi vous avez besoin de HTTPS sur votre site web
WordPress HTTPS est désormais une attente par défaut de tous les utilisateurs du web. Nous nous attendons à voir le cadenas dans notre navigateur qui nous indique que le site web est sécurisé.
Il y a trois raisons principales pour lesquelles vous devriez utiliser WordPress HTTPS :
- La confiance
- La sécurité
- Le référencement (SEO)
Examinons rapidement chacune d’entre elles.
La confiance
La confiance est essentielle en ligne. Pas besoin de vous dire que vous êtes responsable de votre propre sécurité, mais vous devez aussi pouvoir faire confiance au site sur lequel vous vous trouvez.
La sécurité de la connexion entre votre navigateur et un site web contribue à instaurer cette confiance.
Les navigateurs alertent les utilisateurs lorsqu’un site web n’est pas sécurisé et n’utilise pas le protocole HTTPS. Même s’ils ne disent pas “Ne continuez pas car il y a des dragons devant vous”, ils pourraient le faire. C’est un avertissement bien choisi, mais c’est tout de même un avertissement.
Mettez-vous à la place de votre visiteur. Si vous atterrissez sur un site web qui vous avertit qu’il n’est pas sécurisé, lui feriez-vous confiance ?
Sécurité
En tant qu’administrateur ou propriétaire d’un site web, vous avez une responsabilité envers tous vos visiteurs. Vous devez non seulement leur offrir une expérience utilisateur de qualité, mais aussi les protéger pendant qu’ils sont sur votre site.
Cela signifie que vous devez vous assurer que leurs données ne sont pas mises en danger, que personne ne peut écouter leur trafic ou les pirater de quelque manière que ce soit pendant qu’ils visitent votre site.
Si vous exploitez une boutique en ligne ou vendez des articles, avec autorisation d’enregistrement des utilisateurs l’utilisation du protocole HTTPS est obligatoire pour protéger les données des cartes de crédit et les informations personnelles.
Référencement
Le référencement est un facteur secondaire par rapport à la confiance et à la sécurité, cependant il reste important.
En 2014, Google annonce l’utilisation du protocole HTTPS comme facteur de classement. Si les sites web n’utilisent pas HTTPS, ils ne seront pas aussi bien classés que ceux qui l’utilisent. Google a ensuite mis en œuvre ces changements en 2018 et a commencé à élever les sites Web sécurisés.
Si vous dépensez de l’argent en SEO ou en plugins SEO et que vous n’utilisez pas HTTP, vous gaspillez de l’argent !
Pré-requis pour passer WordPress de HTTP à HTTPS
Basculer WordPress de HTTP à HTTPS est très simple. Cette technologie existe depuis un certain temps et la plupart des hébergeurs supportent le SSL et le HTTPS.
Vous aurez simplement besoin d’un hébergeur qui supporte le SSL. Un hébergeur qui, de préférence, offre des certificats SSL gratuitement dans le cadre de votre pack d’hébergement.
La plupart des hébergeurs que nous recommandons incluent le SSL dans leur offre d’hébergement.
Comment migrer un site WordPress de HTTP à HTTPS
Deux options s’offrent à vous pour migrer votre site WordPress de HTTP vers HTTPS. Vous pouvez utiliser un plugin ou effectuer les changements manuellement.
Examinons chacune de ces options.
Chaque option nécessite que vous ou votre hébergeur ayez installé le certificat SSL. Comme chaque hébergeur gère cela différemment, nous ne pouvons pas tous les couvrir ici. Consultez votre hébergeur pour obtenir des instructions sur l’installation de votre certificat SSL WordPress.
Une fois que votre certificat SSL WordPress est installé, procédez avec l’une des méthodes suivantes.
Migrer un site WordPress de HTTP à HTTPS à l’aide d’un plugin
Si vous êtes un débutant sur WordPress ou si vous ne voulez pas vous embêter à passer manuellement à WordPress HTTPS, l’utilisation d’un plugin est probablement la méthode la plus simple.
Voici les étapes à suivre pour migrer un site WordPress de HTTP à HTTPS à l’aide d’un plugin :
- Connectez-vous à votre site web WordPress
- Sélectionnez Plugins et Ajouter un nouveau plugin dans le menu de gauche de votre tableau de bord WordPress.
- Tapez “ssl” dans le champ de recherche en haut à droite.
- Sélectionnez le plugin Really Simple SSL et choisissez Installer maintenant.
- Sélectionnez Activer une fois que l’option est disponible
- Sélectionnez Paramètres et SSL dans le menu de gauche de votre tableau de bord WordPress.
- Vérifiez que le plugin a trouvé votre certificat SSL
Vous devriez voir une page qui indique 100% de progression avec un bouton vert par SSL. Cela vous indique que le plugin a trouvé et vérifié votre certificat SSL et que vous pouvez utiliser HTTPS.
Migrer manuellement le site WordPress de HTTP à HTTPS
Configurer WordPress pour utiliser HTTPS manuellement prend un peu plus de temps mais vous donne un contrôle total sur votre site web. Cela signifie également que vous n’êtes pas dépendant d’un plugin.
Vous devez avoir accès au fichier .htaccess de WordPress pour effectuer le changement manuel. Assurez-vous de l’avoir avant de commencer en vous connectant au gestionnaire de fichiers de votre hébergeur et en naviguant jusqu’à la racine.
- Sélectionnez .htaccess et cliquez sur modifier. Si vous pouvez modifier le fichier, vous pouvez continuer.
- Suivez attentivement chaque étape pour configurer correctement le protocole HTTPS de WordPress.
- Connectez-vous à votre site web WordPress
- Sélectionnez Paramètres et Général dans le menu de gauche de votre tableau de bord WordPress.
- Ajoutez le “s” à côté de http par Adresse WordPress (URL) et Adresse du site (URL)
- Enregistrez vos modifications
- Ouvrez votre fichier .htaccess dans le dossier racine de votre hébergeur
- Ajoutez le code suivant au fichier avant le “# End WordPress” et sauvegardez-le.
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>
Revenez ensuite sur WordPress et n’oubliez pas d’ajouter le “s” à HTTPS. Si vous l’avez fait correctement, vous devriez pouvoir vous connecter et utiliser votre site web en toute sécurité.
Quelle que soit la méthode que vous utilisez pour passer à WordPress HTTPS, il y a deux choses que vous devez faire.
- Mettez à jour votre sitemap – Si vous utilisez Yoast ou un autre plugin SEO, assurez-vous que votre sitemap est à jour et qu’il reflète votre passage à WordPress HTTPS.
- Vérifiez tous les liens de votre site web – Utilisez un outil web ou un plugin pour vérifier que tous les liens sont passés de HTTP à HTTPS. Ils devraient l’être, mais cela vaut la peine de s’en assurer !
- Modifiez le lien dans Google Analytics ou d’autres outils – Si vous utilisez des outils de surveillance ou d’analyse, vous devrez les mettre à jour pour refléter les changements.
Comment contraindre WordPress à utiliser HTTPS
Si vous avez utilisé l’une des méthodes HTTPS de WordPress ci-dessus, il n’y a aucune raison de la forcer. Cependant, vous pouvez contraindre WordPress à utiliser HTTPS si vous le souhaitez.
Pour ce faire, vous devez avoir accès à votre fichier wp-config.php. Si vous avez accès à votre fichier .htaccess, vous devriez également pouvoir accéder à wp-config.php dans votre fichier WordPress principal.
- Ouvrez le fichier wp-config.php dans votre éditeur de texte préféré.
- Ajoutez “define(‘FORCE_SSL_ADMIN’, true) ;” à la fin du fichier et sauvegardez.
Comme toujours, n’incluez pas les ‘ ou ‘ dans le code. Collez-le exactement comme dans l’image ci-dessus.
Vérifier le bon fonctionnement du protocole SSL sur votre site web
Le moyen le plus simple de vérifier si le protocole SSL fonctionne correctement est de visiter votre site web. Tous les navigateurs vous avertissent désormais si vous essayez de visiter un site HTTP non sécurisé.
Si le protocole SSL fonctionne, votre site web devrait apparaître dans votre navigateur. Il devrait également comporter un cadenas à côté de l’URL.
Si le protocole SSL ne fonctionne pas, votre navigateur devrait afficher un avertissement indiquant que vous essayez de visiter un site web non sécurisé.
Vous pouvez également vérifier votre site web auprès de DigiCert, l’une des principales autorités de certification. Ajoutez votre URL dans la case et sélectionnez Vérifier le serveur.
Erreurs HTTPS classiques sur WordPress et comment les corriger
Le processus de sécurisation de WordPress avec HTTPS est assez simple, mais il n’est pas sans difficultés. Vous pouvez rencontrer des erreurs lorsque vous essayez de passer au SSL WordPress.
Espérons que l’une des solutions ci-dessous pourra vous aider :
“Erreur “Votre connexion n’est pas privée
L’erreur “Your Connection is Not Private” signifie que le certificat SSL ne peut pas être lu correctement par votre navigateur. Il s’agit principalement d’un problème lié au navigateur local ou à l’appareil plutôt qu’au serveur.
Il existe plusieurs solutions à ce problème. Essayez chacune d’entre elles à tour de rôle pour voir ce qui se passe.
- Actualisez la page
- Essayez un autre navigateur
- Essayez la navigation incognito ou privée
- Effacez le cache du navigateur et les cookies.
- Assurez-vous que l’horloge de votre ordinateur est exacte
- Effacer l’état SSL de votre ordinateur (Windows)
Pour effacer l’état SSL dans Windows, procédez comme suit :
- Faire un clic droit sur le bouton Démarrer de Windows et sélectionner Connexions réseau.
- Sélectionnez Centre de réseau et de partage dans le volet central.
- Sélectionnez Options Internet en bas à gauche de la nouvelle fenêtre
- Sélectionnez l’onglet Contenu dans la nouvelle fenêtre
- Sélectionnez Effacer l’état de SSL et sélectionnez Appliquer
Le cadenas SSL n’apparaît pas
Si vous avez installé un certificat SSL et l’avez testé, mais que le cadenas n’apparaît toujours pas, c’est que la page contient des liens non sécurisés (HTTP et non HTTPS).
Un navigateur interroge tous les liens d’une page avant de la considérer comme sécurisée. Ce n’est que lorsque tous les liens ont été validés que le navigateur affiche le cadenas. Si la page contient des liens non sécurisés, le cadenas ne s’affichera pas.
Pour y remédier, il suffit de vérifier tous les liens de la page et de s’assurer qu’ils utilisent tous le protocole HTTPS. Modifiez ceux qui ne le sont pas et testez à nouveau.
Alerte “Not Secure” sur les pages de connexion et d’administration de WordPress
Si le message “Not Secure” s’affiche lorsque vous vous connectez à WordPress, cela signifie que la page n’est pas validée par le certificat SSL.
Pour corriger ce problème, reportez-vous à la section “Comment forcer WordPress à utiliser HTTPS” ci-dessus. Une fois que vous aurez forcé WordPress à utiliser HTTPS, l’erreur devrait disparaître.
Boucles de redirection
Si le message “ERR_TOO_MANY_REDIRECTS” s’affiche dans votre navigateur, cela signifie qu’une ou plusieurs redirections de votre page pointent vers un endroit qui pointe vers un autre.
Les redirections sont courantes sur le web et fonctionnent généralement bien. Il s’agit d’un mécanisme permettant d’indiquer au navigateur que l’élément qu’il recherche peut être trouvé à un autre endroit.
Toutefois, si le navigateur se rend à cet autre endroit et trouve une autre redirection lui indiquant de chercher ailleurs, il affiche l’erreur “ERR_TOO_MANY_REDIRECTS”.
Vérifiez d’abord votre navigateur, au cas où.
Effacez le cache et les cookies de votre navigateur et réessayez le lien.
S’il fonctionne, il s’agit d’une erreur du navigateur et non d’une erreur de WordPress. Il n’est pas nécessaire de faire quoi que ce soit d’autre.
Si l’erreur persiste, essayez une ou plusieurs des solutions suivantes :
Videz le cache de WordPress – Si vous utilisez un outil de mise en cache tel que WP Cache ou WP Rocket, videz le cache et réessayez. La corruption du cache peut être à l’origine de la redirection.
Vérifiez vos liens – Utilisez un service tel que Serpworx pour vérifier les redirections. Identifiez les redirections et vérifiez chacune d’entre elles. Modifiez-les si nécessaire.
Désactivez temporairement les plugins de référencement – Certains plugins de référencement redirigent les liens dans le cadre de leurs fonctions. Désactivez votre plugin SEO, videz le cache de WordPress et du navigateur et réessayez. Si vous ne voyez pas l’erreur, dépannez le plugin. Si c’est le cas, essayez une autre étape.
Revérifier le passage de HTTP à HTTPS – Si vous avez suivi les étapes de ce guide et que vous voyez l’erreur, revoyez chaque étape que vous avez suivie pour vous assurer que vous avez fait exactement ce qu’il fallait. Toute erreur dans la configuration SSL peut provoquer des erreurs de redirection.
Passer du plugin HTTPS au manuel – Si vous avez tout vérifié et que tout semble correct et que vous avez utilisé le plugin pour WordPress HTTPS, envisagez de le faire manuellement. Certains plugins peuvent générer des erreurs aléatoires et c’est l’un d’entre eux.
Comment mettre à jour votre site web HTTPS sur les services web
Nous avons déjà mentionné la mise à jour de Google Analytics ou d’autres outils de surveillance, mais revenons brièvement dessus.
Google Analytics
Migrer de HTTP à HTTPS est très simple dans Google Analytics.
- Connectez-vous à Google Analytics
- Sélectionnez Admin en bas à gauche
- Sélectionnez Paramètres de la propriété
- Sélectionnez le site web sous Propriété en haut à gauche du volet central (sous le bouton bleu Créer une propriété).
- Définissez l’URL par défaut dans le volet central pour refléter HTTPS.
- Sélectionnez le bouton bleu Enregistrer en bas de la page.
Console de recherche Google
Vous devrez passer de HTTP à HTTPS dans Google Search Console pour continuer à surveiller votre site web.
Google Search Console ne dispose pas d’une option “Passer à HTTPS”. Vous devrez ajouter votre site web en tant que nouvelle propriété et procéder à une vérification si vous y êtes invité. Il s’agit d’une procédure simple qui ne prend que quelques secondes.
- Connectez-vous à Google Search Console
- Sélectionnez votre site web en haut à gauche, puis cliquez sur Ajouter une propriété.
- Ajoutez la version HTTPS de votre site web et suivez les étapes.
Boîte à outils Bing pour les webmasters
La tâche est plus facile si vous utilisez les Outils pour les webmasters de Bing. Tant que vous effectuez les étapes de cet article et que vous vérifiez qu’elles fonctionnent, Bing détectera automatiquement le changement et mettra à jour les paramètres pour le refléter.
Plateformes de médias sociaux
N’oubliez pas de mettre à jour l’URL complète de vos comptes de médias sociaux. Passez au HTTPS sur chaque réseau social que vous utilisez et créez un lien vers votre site.
Vous devrez vous connecter à chacun d’entre eux et modifier toutes les mentions de votre site web à partir de la zone de paramètres principale.
Questions récurrentes sur le SSL/HTTPS de WordPress
Nous avons essayé de répondre aux questions les plus courantes concernant le SSL sur WordPress et l’utilisation du HTTPS, mais au cas où vous en auriez encore, voici quelques questions et réponses plus rapides.
Migrer vers le HTTPS affecte-t-il le classement dans les moteurs de recherche ?
Le passage au HTTPS affectera le classement des moteurs de recherche, mais dans le bon sens. Google et probablement d’autres moteurs de recherche utilisent HTTPS et SSL comme des marqueurs positifs. Les sites web qui utilisent le protocole SSL sont considérés comme plus dignes de confiance et donc plus dignes d’être promus que les sites web qui ne l’utilisent pas.
Cela a un impact positif sur votre référencement.
Pourquoi le site WordPress affiche-t-il “Not Secure” ?
Votre site WordPress affiche “Non sécurisé” parce qu’il n’a pas de certificat SSL ou qu’il y a un problème avec celui-ci. Vous devrez vous adresser à votre hébergeur pour résoudre ce problème. La plupart des hébergeurs ont une section SSL dans cPanel ou leur zone d’administration où vous pouvez vérifier l’état de votre certificat SSL. C’est un bon point de départ.
Pourquoi n’y a-t-il pas de cadenas sur le site SSL ?
Il n’y a pas de cadenas sur le site SSL parce que la page sur laquelle vous vous trouvez contient des liens non sécurisés. Cela signifie qu’un ou plusieurs liens de la page utilisent le protocole HTTP et non le protocole HTTPS. S’il s’agit de votre site, vérifiez tous les liens de la page et passez-les en HTTPS. S’il ne s’agit pas de votre site, informez l’administrateur du site ou essayez une autre page.
Migrer WordPress vers HTTPS
Si vous êtes en train de migrer WordPress vers HTTPS, vous êtes un peu en retard. Disons qu’il s’agit d’un retard à la mode et que nous faisons notre entrée dans le monde de la navigation sécurisée.
Même si les termes HTTP, HTTPS et SSL peuvent sembler compliqués, comme nous l’avons montré, le processus est en fait assez simple si vous le décomposez en petits morceaux.
Nous espérons que c’est ce que nous avons fait ici.
