Forcer le HTTPS ne demande plus de modifier le moindre fichier : la console applique la redirection pour tout le site, en une case à cocher.
En bref : Gestion de l'hébergement → section Site web → Configuration Apache → activer Redirection automatique vers https → Sauvegarder.
Prérequis
- Un certificat SSL actif sur le site. La redirection n'a de sens que si votre site dispose déjà d'un certificat. Si ce n'est pas le cas, la console refuse l'activation et vous renvoie au menu Sécurisation SSL, où vous pouvez activer un certificat gratuit pour votre domaine (voir Installer un certificat SSL sur un domaine).
- Un site qui répond correctement en
https://. Vérifiez-le avant d'activer la redirection : une fois celle-ci en place, il n'y a plus d'accès en http:// pour tester. Notre outil public diag.swisscenter.com le montre sans rien modifier : dans la carte Site web (TLS & HTTP), Certificat TLS (443) doit indiquer Valide et Réponse HTTP un code en HTTPS, par exemple 200 en HTTPS. Il interroge https:// en premier et ne suit pas les redirections : il ne contrôle donc pas la redirection elle-même. Voir Diagnostiquer votre domaine et votre messagerie avec l'outil de diagnostic SwissCenter.
Certificat SSL et redirection : deux réglages différents
Le cadenas demande les deux, et l'un ne remplace pas l'autre :
| Réglage |
Où |
Ce qu'il fait |
| Certificat Let's Encrypt |
Sécurisation SSL |
Rend votre site joignable en https://. Gratuit et renouvelé automatiquement. |
| Redirection automatique vers https |
Configuration Apache |
Envoie vers https:// les visiteurs qui tapent http://. Ne crée aucun certificat. |
Dans Sécurisation SSL, ne choisissez pas Générer un certificat auto-signé pour un site visité directement : les navigateurs ne le reconnaissent pas et affichent un avertissement de sécurité. Ce mode est réservé aux sites placés derrière un proxy comme Cloudflare.
Comment activer la redirection vers HTTPS ?
- Connectez-vous à votre console Apanel.
- Ouvrez la Gestion de l'hébergement du domaine concerné.
- Dans la section Site web, cliquez sur Configuration Apache.
- Activez Redirection automatique vers https.
- Cliquez sur Sauvegarder.
La configuration est régénérée et rechargée immédiatement : toutes les pages appelées en http:// sont désormais renvoyées vers leur équivalent sécurisé.
Vérifiez d'abord votre application. Un site qui charge encore des images, des feuilles de style ou des scripts en http:// affichera un cadenas barré (« contenu mixte ») une fois en HTTPS. Corrigez ces adresses avant d'activer la redirection.
Quelle adresse corriger dans votre CMS ?
La redirection agit au niveau du serveur. Votre CMS, lui, garde en base l'adresse qu'on lui a déclarée. Si elle est restée en http://, il continuera de fabriquer des liens non sécurisés.
| CMS |
Où corriger l'adresse |
| WordPress |
Réglages → Général → Adresse web de WordPress et Adresse web du site |
| Joomla |
Système → Configuration globale → onglet Serveur → Forcer HTTPS |
| PrestaShop |
Paramètres de la boutique → Paramètres généraux → Activer le SSL, puis Activer le SSL sur toutes les pages |
Et si j'ai besoin d'une règle sur mesure ?
L'option de la console couvre le cas courant : tout le site, en une fois. Pour une règle particulière (n'imposer le HTTPS que sur un sous-répertoire, par exemple), vous pouvez toujours écrire la règle vous-même dans un fichier .htaccess placé à la racine de votre site :
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
N'utilisez pas les deux méthodes en même temps : l'option de la console et une règle .htaccess peuvent se répondre l'une à l'autre et provoquer une boucle de redirection.
Deux points souvent oubliés dans les recettes trouvées en ligne :
[R=301,L] et non [R,L] : sans le 301, la redirection est déclarée temporaire, et les moteurs de recherche continuent d'indexer la version non sécurisée.%{HTTP_HOST} plutôt que le nom de domaine écrit en dur : la règle reste valable si le site répond aussi sur www ou sur un autre domaine.
En cas de problème
- « La securisation SSL n'a pas été activée pour votre site » : le site n'a pas encore de certificat. Activez-en un dans Sécurisation SSL, puis revenez à Configuration Apache.
- Le navigateur affiche « non sécurisé » alors qu'un certificat est installé : vérifiez dans Sécurisation SSL qu'il ne s'agit pas d'un certificat auto-signé. Si c'est le cas, cliquez sur Désinstaller le certificat sur cette page : le site revient au certificat Let's Encrypt. En cas de doute, contactez le support.
- Le site s'ouvre encore en
http:// : la redirection n'est pas active. Reprenez les étapes ci-dessus et n'oubliez pas Sauvegarder.
- Le navigateur signale une boucle de redirection : l'option de la console et une règle
.htaccess sont actives en même temps. Gardez l'une des deux.
- Le cadenas reste barré : la page charge encore des ressources en
http://, ou l'adresse enregistrée dans votre CMS est restée en http:// (voir le tableau ci-dessus).
- La règle
.htaccess reste sans effet : vérifiez que l'option Prise en charge des .htaccess est bien activée dans Site web → Configuration Apache. Elle l'est par défaut.
Pour aller plus loin