Forcer le HTTPS et corriger le contenu mixte

Forcer le HTTPS consiste à faire en sorte que toute visite arrive sur la version sécurisée de votre site, que le visiteur tape http:// ou non, et que la page ne charge aucune ressource en clair. Notre audit vérifie trois choses : la redirection de http:// vers https://, la présence de contenu mixte, et l'état du certificat et des protocoles TLS.

Rediriger http:// vers https://

Sans redirection, un visiteur qui tape l'adresse sans https:// navigue en clair. La redirection doit être permanente (code 301) et se faire en un seul saut.

Apache

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Nginx

server {
    listen 80;
    server_name exemple.fr www.exemple.fr;
    return 301 https://exemple.fr$request_uri;
}

Sous WordPress, mettez d'abord les deux adresses en https:// dans Réglages, Général ; un plugin comme « Really Simple SSL » peut ensuite poser la redirection. Pour comprendre la différence entre 301 et 302, voir l'outil gratuit Codes HTTP d'IT-Tools, listé en bas de page.

Éviter les redirections en cascade

Une chaîne du type http://exemple.fr, puis https://exemple.fr, puis https://www.exemple.fr coûte un aller-retour réseau à chaque étape. L'audit signale deux redirections ou plus avant la page finale. Redirigez directement vers l'adresse définitive, en choisissant une seule version du domaine (avec ou sans www). Le guide redirections, erreurs 404 et sitemap détaille le sujet.

Corriger le contenu mixte

Le contenu mixte, ce sont des images, scripts ou styles appelés en http:// sur une page en HTTPS. Les navigateurs les bloquent ou affichent un avertissement, et un script en clair peut être modifié en chemin.

1. Ouvrez la console du navigateur : les ressources concernées y sont listées comme « Mixed Content ».
2. Remplacez http:// par https:// dans le code, le thème ou le contenu.
3. Sous WordPress, un plugin comme « Better Search Replace » corrige en masse les adresses enregistrées dans la base.
4. Si la ressource n'existe pas en HTTPS chez le tiers, hébergez-la vous-même ou retirez-la.

En dépannage, l'en-tête Content-Security-Policy: upgrade-insecure-requests demande au navigateur de réécrire les adresses en HTTPS. Il ne remplace pas la correction des sources.

Certificat et protocoles TLS

• Certificat. Il doit être valide et renouvelé avant son expiration. Avec Let's Encrypt, le renouvellement est automatique chez la plupart des hébergeurs : vérifiez qu'il est bien actif, sinon le site affichera « connexion non sécurisée » le jour de l'échéance.
• Protocoles. Désactivez TLS 1.0 et 1.1, gardez TLS 1.2 au minimum, idéalement avec TLS 1.3.

# Nginx
ssl_protocols TLSv1.2 TLSv1.3;

# Apache
SSLProtocol -all +TLSv1.2 +TLSv1.3

L'audit contrôle aussi le chiffrement négocié (échange de clés avec forward secrecy). Les hébergeurs et CDN modernes l'activent par défaut ; sur un serveur que vous administrez, faites vérifier la liste des suites de chiffrement.

Vérifier

Tapez http://votre-domaine dans le navigateur : vous devez arriver sur le HTTPS sans étape intermédiaire. Relancez l'audit pour confirmer. Une fois le HTTPS en place, ajoutez l'en-tête HSTS décrit dans le guide en-têtes de sécurité HTTP.