Erreur WordPress

Site WordPress « non sécurisé » : retrouver le cadenas dans le navigateur

À côté de l’adresse de votre site, le navigateur affiche « Non sécurisé », ou une page d’alerte s’ouvre avant votre site (« Votre connexion n’est pas privée »). Vos visiteurs voient la même chose, et beaucoup repartent sans aller plus loin.

En bref : soit le certificat SSL est absent ou expiré (à régler chez l’hébergeur), soit WordPress utilise encore des adresses en http (à régler dans WordPress).

Vos visiteurs voient une alerte de sécurité ? Direction la page Dépannage WordPress : premier diagnostic gratuit. Un autre message s’affiche ? Consultez le guide Erreurs WordPress.

Ce que veut dire « non sécurisé »

Le message ne veut pas dire que votre site est piraté. Il veut dire que la connexion entre le visiteur et votre site n’est pas chiffrée, ou pas entièrement : les informations saisies dans un formulaire pourraient être lues en chemin. C’est le rôle du certificat SSL, qui fait passer l’adresse de http:// à https://.

  • Pas de certificat SSL. Le site n’a jamais été passé en https.
  • Certificat expiré. Il n’a pas été renouvelé, souvent après un changement d’hébergement ou de nom de domaine. Le navigateur affiche alors une page d’alerte.
  • Adresse du site en http. Le certificat existe, mais WordPress est encore réglé sur http://.
  • Contenu mixte. La page est en https, mais certaines images ou scripts sont encore appelés en http. Le cadenas disparaît.
  • Certificat au mauvais nom. Il couvre « monsite.fr » mais pas « www.monsite.fr », ou l’inverse.

Comment retrouver le cadenas, étape par étape

Commencez par l’hébergeur : sans certificat valide, les réglages de WordPress ne servent à rien.

  1. Vérifier le certificat

    Cliquez sur l’icône à gauche de l’adresse dans le navigateur. Elle indique si le certificat est valide, expiré ou absent, et pour quel nom de domaine il a été émis.

  2. Activer ou renouveler le certificat

    La plupart des hébergeurs proposent un certificat Let’s Encrypt gratuit, qui se renouvelle tout seul. Activez-le dans l’espace client, pour l’adresse avec et sans www. Comptez de quelques minutes à quelques heures avant qu’il soit actif.

  3. Passer l’adresse du site en https

    Dans Réglages > Général, remplacez http:// par https:// dans les deux champs d’adresse. Vous serez déconnecté : reconnectez-vous avec l’adresse en https.

  4. Corriger le contenu mixte

    Les anciennes images et liens enregistrés en http:// doivent être remplacés dans la base de données. Une extension comme Better Search Replace le fait proprement : remplacez http://votresite.fr par https://votresite.fr, en vérifiant bien l’orthographe. Lancez d’abord le mode test (« dry run »), qui montre ce qui sera remplacé sans rien modifier. Faites une sauvegarde complète de la base de données avant : le remplacement ne peut pas être annulé.

  5. Rediriger http vers https

    Pour que tous les visiteurs arrivent sur la version sécurisée, le plus simple est d’activer l’option proposée dans l’espace client de l’hébergeur (souvent appelée « Forcer HTTPS »). Sinon, ajoutez ces lignes tout en haut du fichier .htaccess, avant la ligne # BEGIN WordPress :

    RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

    Si le site se met à recharger en boucle (« trop de redirections »), retirez ces lignes : la redirection est déjà gérée ailleurs, par l’hébergeur ou par un service comme Cloudflare.

Avant de commencer

  • Vérifiez le https avant l’étape 3. Si le site ne s’ouvre pas en https, changer l’adresse dans WordPress bloque l’accès à l’administration.
  • Faites une sauvegarde. Depuis l’espace client de votre hébergeur si l’administration n’est plus accessible.
  • Une seule modification à la fois. Testez après chaque étape, sinon impossible de savoir ce qui a réglé le problème.
  • Testez en navigation privée. Votre navigateur garde en mémoire l’ancienne version du site : après chaque étape, vérifiez le cadenas dans une fenêtre de navigation privée.

Les questions

Questions fréquentes

Pas forcément. Le certificat Let’s Encrypt, gratuit, est proposé par la plupart des hébergeurs et suffit pour un site vitrine ou une boutique. Les certificats payants apportent surtout une vérification de l’entreprise, rarement utile pour une petite structure.

C’est du contenu mixte : une image, une vidéo ou un script de ces pages est encore appelé en http. Les outils de développement du navigateur (onglet Console) indiquent les éléments concernés. Plus simple : l’outil en ligne gratuit whynopadlock.com. Entrez l’adresse de la page, il liste les éléments restés en http.

Google tient compte du https dans son classement, et une alerte de sécurité fait fuir les visiteurs. Sur un site avec un formulaire de contact ou une boutique, c’est à corriger rapidement.

Le message « non sécurisé » seul, non. Mais si Google affiche « Site dangereux » ou « Ce site a peut-être été piraté », c’est autre chose : consultez le guide site WordPress piraté.

Aperçu du guide « Maintenance & sécurité WordPress » de Jorboo

Guide gratuit · PDF de 12 pages

Maintenance & sécurité WordPress : le guide pratique

Des mises à jour faites régulièrement et avec méthode évitent une bonne partie de ces erreurs. Ce guide explique comment garder votre site WordPress à jour et protégé.

Télécharger gratuitement le guide

Votre site affiche toujours « non sécurisé » ?

Je peux m’en occuper pour vous. Premier diagnostic gratuit, réponse le jour même pour toute demande reçue avant 16h (jours ouvrés).

Demander un diagnostic gratuit
Écrire sur WhatsApp

En savoir plus sur le détail et les tarifs du dépannage WordPress