Site WordPress « non sécurisé » : comment retrouver le cadenas HTTPS 🔒

Le message « Non sécurisé » qui s’affiche à côté de l’adresse de votre site a de quoi inquiéter, surtout quand un client vous le signale avant vous. Dans la grande majorité des cas, il s’agit d’un problème de configuration du HTTPS et non d’une attaque. Notre équipe prend en charge ce type d’erreur WordPress à distance, mais les étapes ci-dessous suffisent souvent.

Pourquoi votre site WordPress est-il marqué « non sécurisé » ?

Votre site est marqué « non sécurisé » parce que le navigateur ne peut pas garantir que la connexion entre le visiteur et votre serveur est chiffrée de bout en bout. Ce chiffrement repose sur le HTTPS, la version sécurisée du protocole des pages web, et sur un certificat SSL, une carte d’identité numérique liée à votre nom de domaine. Dès qu’un maillon manque, le cadenas disparaît.

Les causes que nous rencontrons se répartissent presque toujours dans cette liste :

• aucun certificat n’est installé, souvent après un changement d’hébergeur ;
• le certificat a expiré parce que son renouvellement automatique a échoué ;
• le certificat ne couvre pas la bonne adresse, typiquement la version avec « www » alors que le site s’affiche sans, ou l’inverse ;
• les adresses de WordPress sont restées en http dans les réglages, si bien que le site continue de fabriquer des liens non sécurisés ;
• du contenu mixte : la page est bien servie en HTTPS, mais elle charge une image, une police, une vidéo ou un script en http.

Le sujet des certificats prend d’ailleurs de l’importance. Les éditeurs de navigateurs et les autorités de certification, réunis au sein du CA/Browser Forum, ont décidé de réduire progressivement leur durée de validité : 200 jours au maximum depuis le 15 mars 2026, puis 47 jours à partir de mars 2029.

Est-ce grave pour vos visiteurs et votre référencement ?

Oui, c’est assez grave pour être réglé rapidement, même si vos données ne sont pas forcément en danger. Face à un avertissement, beaucoup de visiteurs font demi-tour ou n’osent plus remplir un formulaire. Avec un certificat expiré, c’est pire : une alerte pleine page s’affiche avant votre site.

Le contenu mixte a aussi des effets visibles. Les navigateurs récents comme Chrome bloquent les scripts et les cadres intégrés appelés en http, et tentent de charger les images, sons et vidéos en HTTPS en les bloquant si cela échoue, comme l’avait annoncé l’équipe de Chrome. Résultat : un menu qui ne s’ouvre plus ou une image manquante. Côté référencement enfin, Google a confirmé dès 2014 que le HTTPS faisait partie de ses signaux de classement.

Comment retrouver le cadenas HTTPS, étape par étape ?

La bonne méthode consiste à vérifier d’abord le certificat, puis les réglages de WordPress, et seulement ensuite le contenu des pages. Avant toute modification, faites une sauvegarde complète du site : les étapes 3 et 5 touchent à la base de données, l’endroit où WordPress range tous ses contenus et réglages.

1. Lisez le diagnostic du navigateur

Cliquez sur l’icône située à gauche de l’adresse, dans la barre du navigateur. Si le message parle d’un certificat non valide ou expiré, passez à l’étape 2. Si la connexion est indiquée comme sécurisée sur certaines pages seulement, ou si l’avertissement mentionne des éléments non sécurisés, le certificat fonctionne et le coupable est probablement du contenu mixte (étapes 4 et 5).

2. Vérifiez le certificat chez votre hébergeur

Dans l’espace client de votre hébergeur, ouvrez la rubrique SSL de votre domaine. La plupart des hébergeurs proposent un certificat gratuit Let’s Encrypt renouvelé automatiquement : vérifiez qu’il est bien actif, qu’il couvre le domaine avec et sans « www », et regardez sa date d’expiration. S’il a expiré, relancez sa génération depuis cette interface.

3. Passez les adresses de WordPress en https

Dans le tableau de bord, ouvrez Réglages, puis Général, et regardez les champs « Adresse web de WordPress (URL) » et « Adresse web du site (URL) ». Les deux doivent commencer par https et être identiques à l’adresse affichée dans le navigateur. Depuis WordPress 5.7, l’écran Outils, Santé du site propose aussi un bouton qui fait ce changement en un clic quand l’hébergement est prêt pour le HTTPS, comme l’explique la note officielle de WordPress. Si les deux champs sont grisés, c’est que les adresses sont fixées dans le fichier wp-config.php, le fichier de configuration du site : la correction se fait alors dans ce fichier.

4. Repérez le contenu mixte

Sur une page concernée, faites un clic droit, « Inspecter », puis ouvrez l’onglet « Console ». Chaque élément fautif y apparaît avec la mention « Mixed Content » suivie de son adresse en http. Notez d’où il vient : image d’un article, fond défini dans le thème ou Elementor, script d’une extension. Notre scanner de sécurité WordPress gratuit vous aide aussi à vérifier la configuration HTTPS de votre site.

5. Remplacez les anciennes adresses dans la base de données

Quand le contenu mixte vient de vos propres contenus, il faut remplacer les anciennes adresses en http par leur version en https. Une extension de recherche et remplacement comme Better Search Replace s’en charge, avec un essai à blanc d’abord. N’utilisez jamais un simple remplacement de texte dans un export de la base : WordPress stocke certaines données sous une forme dite sérialisée, qui enregistre la longueur exacte de chaque texte, et un remplacement brutal casse ces données.

6. Forcez la redirection vers HTTPS

Les visiteurs qui arrivent en http doivent ensuite être renvoyés vers la version en https. L’option « forcer le HTTPS » de votre hébergeur est la solution la plus sûre. Si vous ajoutez vous-même une règle dans le fichier .htaccess ou si vous empilez une extension de redirection par-dessus, vous risquez une boucle de redirections : nous détaillons ce cas dans notre guide sur l’erreur « trop de redirections ».

7. Videz tous les caches

Videz le cache de votre extension de cache, celui de votre hébergeur et, si vous en utilisez un, celui de votre réseau de diffusion de contenu (CDN, un service qui sert des copies de votre site depuis des serveurs répartis dans le monde). Testez ensuite dans une fenêtre de navigation privée.

Que faire si le cadenas ne revient toujours pas ?

Si le cadenas ne revient pas après ces étapes, c’est le moment de vous arrêter et de faire appel à un professionnel, car les causes restantes sont plus techniques. Il peut s’agir d’un CDN mal configuré, d’adresses en http écrites en dur dans le thème ou d’un certificat installé sur le mauvais serveur.

Un cas mérite une attention particulière : si la console signale des scripts chargés depuis des domaines que vous ne connaissez pas, le problème n’est plus le HTTPS mais probablement un code malveillant injecté dans le site. Dans ce cas, ne vous contentez pas de remplacer les adresses, consultez notre page consacrée aux sites WordPress piratés. Si votre certificat expire souvent, revoyez vos critères pour bien choisir son hébergement WordPress.