Dans ce tutoriel, nous allons voir comment passer votre site WordPress de HTTP à HTTPS.
Le passage à HTTPS n’est pas seulement une question de protection ; il influe également positivement sur le référencement de votre site. Au cours de ce guide, nous aborderons les étapes essentielles pour effectuer cette transition en toute sécurité. De plus, nous explorerons des plugins gratuits disponibles qui rendent ce processus à la fois simple et efficace.
Pourquoi est-il indispensable de passer son site en HTTPS ?
Le passage d’un site web en HTTPS (Hypertext Transfer Protocol Secure) est devenu indispensable pour plusieurs raisons :
- Sécurité des données :
- HTTPS crypte les données échangées entre le navigateur de l’utilisateur et le serveur du site web. Cela aide à protéger les informations sensibles telles que les détails de carte de crédit, les mots de passe et les données personnelles contre les interceptions et les attaques de type « homme du milieu ».
- Authentification :
- HTTPS assure que les utilisateurs communiquent avec le site web authentique et non avec un site imposteur. Cela est crucial pour prévenir les attaques de phishing et les autres formes de tromperie sur l’identité d’un site.
- Intégrité des données :
- Avec HTTPS, les données envoyées ne peuvent pas être altérées ou corrompues pendant leur transfert, assurant ainsi l’intégrité des informations transmises.
- Confiance des utilisateurs :
- Un site web en HTTPS indique aux utilisateurs qu’ils peuvent faire confiance au site. Les navigateurs modernes affichent souvent un cadenas vert ou une barre d’adresse verte pour les sites HTTPS, signalant aux visiteurs que leur connexion est sécurisée.
- Référencement Web (SEO) :
- Google et d’autres moteurs de recherche favorisent les sites HTTPS dans leurs résultats de recherche. Le passage au HTTPS peut donc améliorer le référencement naturel d’un site web.
- Conformité réglementaire :
- Pour les sites manipulant des données sensibles, le passage en HTTPS peut être une exigence légale ou réglementaire, comme le stipulent des normes telles que le GDPR en Europe, visant à protéger les données des utilisateurs.
- Performances Web :
- HTTPS est une exigence pour certaines technologies web modernes, comme HTTP/2, qui offre des améliorations de performance significatives par rapport à HTTP/1.1.
Qu'est-ce que le HTTPS ?
Le HTTPS (Hypertext Transfer Protocol Secure) est la version sécurisée du HTTP, le protocole utilisé pour transmettre des données sur le web. Il s’agit d’un protocole essentiel pour assurer la sécurité sur Internet. Voici les éléments clés à comprendre :
- Chiffrement des Données :
- Contrairement au HTTP, qui envoie les données en clair, le HTTPS chiffre les informations échangées entre le navigateur de l’utilisateur et le serveur web. Cela signifie que les données sont transformées en un format codé, rendant leur interception par des tiers inutile.
- Utilisation de SSL/TLS :
- Le HTTPS utilise les protocoles SSL (Secure Sockets Layer) ou TLS (Transport Layer Security) pour le chiffrement. Ces protocoles créent un canal sécurisé, même sur un réseau non sécurisé, assurant ainsi que seuls le serveur et le client peuvent déchiffrer les données échangées.
- Authentification :
- Le HTTPS permet également d’authentifier le site web visité. Grâce au certificat SSL/TLS, les utilisateurs peuvent vérifier l’identité du site, s’assurant ainsi qu’ils sont bien connectés au site web qu’ils souhaitent et non à un site imposteur.
Qu'est-ce qu'un Certificat SSL ?
Un certificat SSL (Secure Sockets Layer), devenu plus communément TLS (Transport Layer Security), est un élément fondamental pour établir une connexion HTTPS (Hypertext Transfer Protocol Secure) sur un site web. Voici les points essentiels à comprendre sur le rôle des certificats SSL dans la mise en place du HTTPS :
Définition et rôle
Certificat Numérique : Un certificat SSL est un fichier numérique qui sert à authentifier l’identité d’un site web et à établir une connexion sécurisée entre le serveur et le navigateur de l’utilisateur.
Chiffrement des Données : Le certificat SSL permet de chiffrer les données envoyées entre le serveur et le client, assurant que les informations sensibles (comme les mots de passe, les numéros de carte de crédit, etc.) sont transmises de manière sécurisée.
Authentification : Il confirme que le serveur auquel le client se connecte est bien celui qu’il prétend être, évitant ainsi les attaques de type « homme du milieu ».
Types de certificats SSL
Certificats Validés par Domaine (DV) : Ce sont les types de certificats les plus basiques, où seule la propriété du domaine est vérifiée. Ils sont souvent utilisés pour les blogs personnels ou les petits sites web.
Certificats Validés par l’Organisation (OV) : Ces certificats requièrent une vérification plus approfondie de l’organisation derrière le site web. Ils sont couramment utilisés pour les sites web d’entreprises.
Certificats de Validation Étendue (EV) : Ils offrent le niveau de validation et de confiance le plus élevé, impliquant un processus de vérification rigoureux. Ils sont fréquemment utilisés par les banques, les institutions financières et les grands magasins en ligne.
Les principaux fournisseurs SSL
Les fournisseurs de certificats SSL sont nombreux et offrent une gamme variée de produits pour répondre à différents besoins en matière de sécurité en ligne. Voici une liste des fournisseurs de certificats SSL les plus reconnus :
Let's Encrypt
Let’s Encrypt est l’autorité de certification (AC) la plus reconnue et utilisée actuellement pour fournir gratuitement des certificats SSL/TLS destinés à sécuriser les sites web. Créée avec l’objectif de renforcer la sécurité sur internet, Let’s Encrypt a transformé l’approche d’obtention et de gestion des certificats SSL/TLS. Voici une vue d’ensemble :
- Caractéristiques : Gratuit, Automatisation facile, Idéal pour les petits sites et les blogs.
- Type de Certificat : Principalement des certificats DV (Validation de Domaine).
- Automatisation : Le processus d’obtention, de renouvellement et de gestion des certificats est automatisé, simplifiant la tâche pour les administrateurs de sites web.
- Ouverture et Transparence : En tant qu’organisation à but non lucratif soutenue par la communauté, Let’s Encrypt prône la transparence et la sécurité ouverte.
- Compatibilité Universelle : Les certificats sont reconnus par la majorité des navigateurs modernes, garantissant une large compatibilité.
- Renouvellement Automatique : Les certificats ont une durée de vie courte (généralement 90 jours) pour renforcer la sécurité, mais peuvent être renouvelés automatiquement.
Les autres fournisseurs SSL
DigiCert
- Caractéristiques : Large gamme de solutions de sécurité, Support client de qualité.
- Types de Certificats : DV, OV (Validation de l’Organisation), EV (Validation Étendue), Certificats Wildcard, Multi-domaines.
GeoTrust
- Caractéristiques : Convient aux entreprises de toutes tailles, Tarification flexible.
- Types de Certificats : DV, OV, EV.
Symantec
- Caractéristiques : Connu pour ses solutions de sécurité robustes, Support étendu pour les entreprises.
- Types de Certificats : DV, OV, EV, Certificats de sécurité étendue.
Thawte
- Caractéristiques : Fournisseur bien établi avec une bonne réputation, Options diversifiées.
- Types de Certificats : DV, OV, EV.
GlobalSign
- Caractéristiques : Solutions SSL pour les grandes entreprises et les organisations gouvernementales.
- Types de Certificats : DV, OV, EV, SSL pour sous-domaines et domaines multiples.
GoDaddy
- Caractéristiques : Offres intégrées avec des services d’hébergement et de domaine.
- Types de Certificats : DV, OV, EV, Certificats Wildcard.
Sectigo (anciennement Comodo CA)
- Caractéristiques : Large gamme de produits de sécurité, y compris des solutions anti-malware.
- Types de Certificats : DV, OV, EV, Certificats Wildcard et Multi-domaines.
Entrust Datacard
- Caractéristiques : Solutions de sécurité complètes, avec un accent sur l’identité numérique et la gestion des données.
- Types de Certificats : DV, OV, EV.
Obtenir est installer Let's Encrypt
Obtenir un certificat SSL de Let’s Encrypt est devenu une procédure standard pour la plupart des hébergeurs web, grâce à son intégration facile et sans frais. Prenons l’exemple d’o2switch, un hébergeur populaire, pour illustrer le processus.
Étape 1 : Vérifier la prise en charge par l’hébergeur
- Vérifiez si votre hébergeur supporte Let’s Encrypt : La grande majorité des hébergeurs, y compris o2switch, proposent Let’s Encrypt dans leurs services. Cela est souvent mentionné sur leur site ou dans leur interface de gestion.
- Accéder à l’interface de gestion de l’hébergeur : Connectez-vous à votre compte sur le site de l’hébergeur et accédez au panneau de contrôle (cPanel, Plesk, etc.).
Étape 2 : Activer Let’s Encrypt via le cPanel (Exemple avec o2switch)
- Trouver l’option Let’s Encrypt : Dans le cPanel d’o2switch, recherchez une section dédiée à la sécurité ou directement une icône/appellation « Let’s Encrypt » et cliquez dessus.
- Sélectionner votre domaine : Choisissez le domaine pour lequel vous souhaitez activer HTTPS.
- Demande de Certificat : Suivez les instructions pour demander l’émission d’un certificat SSL par Let’s Encrypt pour votre domaine. Ce processus peut inclure la vérification de votre domaine et la configuration de certains enregistrements DNS.
Étape 3 : Installation Automatique du Certificat
- Installation Automatisée : L’hébergeur s’occupe généralement de l’installation automatique du certificat sur votre domaine une fois la demande approuvée.
- Vérification et Tests : Après installation, il est conseillé de vérifier que votre site fonctionne correctement en HTTPS. Vous pouvez le faire en accédant à votre site via https://.
Étape 4 : Renouvellement Automatique
- Renouvellement Automatique : Les certificats Let’s Encrypt ont une validité de 90 jours, mais la plupart des hébergeurs gèrent le renouvellement automatique, vous n’avez donc généralement pas à vous en préoccuper.
Configuration de WordPress pour HTTPS
Une fois que vous avez obtenu et installé votre certificat SSL de Let’s Encrypt, la prochaine étape importante est de configurer correctement votre site WordPress pour utiliser HTTPS. Si vous utilisez o2switch, un outil comme WP Tiger peut faciliter grandement ce processus. Voici les étapes à suivre :
Utiliser WP Tiger pour forcer le HTTPS
Si vous êtes hébergé chez o2switch, vous pouvez utiliser leur outil WP Tiger pour passer vote site en HTTPS d’un simple clic.
- Pour ce faire, allez :
- Dans cPanel.
- Cliquez sur WP Tiger.
- Sélectionner votre site.
- Cliquez dur Gérer le site.
- Cliquez sur Actions avancées
- Cliquez sur Forcer le site en HTTPS
Utilisation d'un Plugin WordPress
Il existe plusieurs plugins qui peuvent gérer cette redirection pour vous. Un exemple populaire est ‘Really Simple SSL’.
- Installer le Plugin : Connectez-vous à votre tableau de bord WordPress, allez dans « Plugins » > « Ajouter » et recherchez « Really Simple SSL« . Installez et activez-le.
- Configurer le Plugin : Une fois activé, Really Simple SSL vérifiera automatiquement votre certificat SSL. S’il détecte un certificat valide, il vous proposera d’activer la redirection HTTPS sur l’ensemble du site.
- Activer HTTPS : Suivez les instructions pour activer HTTPS. Le plugin s’occupera de la configuration, y compris les ajustements nécessaires dans le fichier .htaccess.
Procédure manuelle
- Accéder au Fichier .htaccess : Connectez-vous à votre serveur via FTP ou cPanel, et trouvez le fichier .htaccess dans le répertoire racine de votre site WordPress.
- Sauvegardez le Fichier : Avant de faire des modifications, il est toujours sage de sauvegarder le fichier actuel.
- Modifier le Fichier : Ouvrez le fichier .htaccess et ajoutez les lignes suivantes au début du fichier :
RewriteEngine On
RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.*)$ https://www.votredomaine.com/$1 [R,L]
- Remplacez votredomaine.com par votre nom de domaine réel.
- Enregistrer les Changements : Sauvegardez le fichier et fermez-le. Votre site devrait maintenant rediriger automatiquement tout le trafic de HTTP vers HTTPS.
Mettre à jour les réglages WordPress
- Modifier l’URL du site et de WordPress : Allez dans votre tableau de bord WordPress, puis dans « Réglages » > « Général ». Changez les adresses WordPress et de site pour utiliser « https » au lieu de « http ».
- Sauvegardez les Changements : Après avoir mis à jour les URLs, enregistrez les modifications.
Vérification
Passer un site en HTTPS nécessite une série de vérifications pour s’assurer que tout fonctionne correctement. Voici les étapes clés à suivre :
Vérifier l’absence de contenu mixte
Le contenu mixte sur un site web se produit lorsqu’une page sécurisée, chargée via HTTPS (Hypertext Transfer Protocol Secure), contient des éléments chargés via HTTP (Hypertext Transfer Protocol), qui est non sécurisé. Cela concerne les éléments tels que les images, les vidéos, les feuilles de style (CSS), les scripts JavaScript et d’autres ressources multimédias ou de contenu.
Il est essentiel d’éviter la présence de contenu mixte sur votre site pour les motifs suivants :
- Pénalisation par les Moteurs de Recherche
- Google et d’autres moteurs de recherche favorisent les sites HTTPS pour leur sécurité accrue. Si votre site est en HTTPS mais contient du contenu mixte, cela peut être interprété comme un signe de mauvaise sécurisation du site. En conséquence, les moteurs de recherche peuvent pénaliser votre site dans les classements de recherche.
- Avertissements de Sécurité :
- Les navigateurs modernes affichent des avertissements de sécurité sur les pages avec du contenu mixte. Ces avertissements peuvent dissuader les visiteurs de rester sur votre site ou d’interagir avec lui. Un taux de rebond élevé et un faible temps passé sur le site peuvent signaler aux moteurs de recherche que votre site n’est pas digne de confiance ou pertinent, ce qui peut nuire à votre classement.
- Blocage de Ressources :
- Les navigateurs bloquent souvent le contenu mixte actif (comme les scripts) pour des raisons de sécurité. Si des éléments clés de votre site sont bloqués, cela peut entraîner une mauvaise expérience utilisateur et affecter la manière dont les moteurs de recherche indexent votre site.
- Indexation Incomplète :
- Si les moteurs de recherche rencontrent du contenu mixte lors de l’exploration de votre site, cela peut entraver l’indexation complète de votre site. Les ressources bloquées ou non sécurisées peuvent ne pas être indexées, ce qui peut réduire la quantité de contenu indexé et, par conséquent, les opportunités de classement.
- Intégrité du site :
- Le contenu mixte peut affecter l’intégrité et la fonctionnalité du site, car certains navigateurs peuvent bloquer ces ressources mixtes, ce qui peut entraîner des problèmes d’affichage ou de fonctionnalité sur le site.
Pour détecter le contenu mixte sur votre site web, vous pouvez utiliser des outils en ligne gratuits, comme Why No Padlock? Cet outil est spécialement conçu pour identifier le contenu mixte sur les pages web. Il vérifie les éléments de la page tels que les scripts, les images et les feuilles de style pour s’assurer qu’ils sont chargés via HTTPS.
Autres vérifications
- Vérification de l’Installation du Certificat SSL
- Utilisez un outil en ligne comme HTTPCS pour tester votre certificat SSL. Cela vous indiquera si le certificat est correctement installé et valide.
- Mise à Jour de l’URL du Site et des Liens Internes URL en HTTPS
- Dans les réglages WordPress (ou tout autre CMS), assurez-vous que l’URL du site utilise « https ».
- Vérification des Redirections de HTTP vers HTTPS :
- Assurez-vous que toutes les requêtes HTTP sont redirigées vers HTTPS.
Test URL : Testez les URL de votre site en utilisant HTTP pour voir si elles sont correctement redirigées vers HTTPS.
- Assurez-vous que toutes les requêtes HTTP sont redirigées vers HTTPS.
- Mettre à jour les sitemaps :
- Assurez-vous que votre sitemap est à jour avec les URL en HTTPS et soumettez-le à nouveau à Google Search Console et à d’autres moteurs de recherche.
- Mise à Jour auprès des Services Tiers
- Google Analytics et Search Console : Mettez à jour l’URL de votre site en HTTPS dans Google Analytics et Google Search Console.
- Autres Services : Si vous utilisez d’autres services tiers (publicités, outils d’analyse, plugins), assurez-vous qu’ils sont configurés pour HTTPS.
- Tester le Site
- Parcourez votre site en tant qu’utilisateur et vérifiez que tout fonctionne correctement, Après la transition, surveillez votre site pour détecter d’éventuels problèmes, comme des baisses de trafic ou des erreurs de chargement.
Conseil pour conclure
Si votre site WordPress n’est pas encore actif, il est préférable de le basculer en HTTPS juste après avoir terminé l’installation de WordPress, avant même de publier vos articles en ligne. Cette démarche préventive vous protège contre les risques de contenu mixte, qui peuvent survenir lors de la transition d’un site de HTTP vers HTTPS.
