SSL gratuit, HTTPS forcé et contenu mixte : sécuriser votre site chez WebGee

Sécuriser un site se fait en trois étapes distinctes : émettre un certificat, rediriger tous les visiteurs vers HTTPS et s'assurer que plus aucun élément de la page ne se charge en HTTP simple. Chaque étape règle un problème différent, et c'est en les réalisant dans le désordre qu'on provoque des avertissements de navigateur et des boucles de redirection.

Ce guide vous accompagne dans ces trois étapes sur l'hébergement mutualisé et revendeur WebGee, avec les outils déjà présents dans votre cPanel.

À retenir

Les nouveaux domaines sont exclus d'AutoSSL par défaut : incluez-les dans SSL/TLS Status avant de lancer AutoSSL.
Installez un certificat fonctionnel avant de forcer HTTPS, sinon chaque visiteur verra un avertissement de sécurité du navigateur.
L'option Force HTTPS Redirect de cPanel convient à la quasi-totalité des sites ; réservez le .htaccess aux règles conditionnelles.
Si le cadenas n'apparaît toujours pas alors que la redirection fonctionne, il s'agit généralement de contenu mixte, que la console du navigateur liste pour vous.
Forcez HTTPS à un seul endroit et réglez Cloudflare sur Full (strict) pour éviter les boucles de redirection.

Avant de commencer

Votre domaine pointe vers votre compte d'hébergement WebGee (vérifiez ses serveurs de noms ou son enregistrement A).
Vous pouvez vous connecter au cPanel du compte.
Si le site tourne sous WordPress, vous pouvez vous connecter au tableau de bord WordPress.
Si le domaine passe par Cloudflare, vous pouvez vous connecter à votre compte Cloudflare.

Étape 1 : émettre un certificat gratuit avec AutoSSL

WebGee émet et renouvelle gratuitement des certificats SSL via AutoSSL pendant toute la durée de vie du compte. Ces certificats sont délivrés par Sectigo avec un chiffrement 256 bits, sont valables 90 jours et se renouvellent automatiquement avant leur expiration.

Il y a toutefois une subtilité. Les nouveaux domaines sont exclus d'AutoSSL par défaut : lancer AutoSSL seul ne sert donc à rien. Commencez par inclure les domaines :

Dans cPanel, ouvrez SSL/TLS Status dans la section Security.
Cochez la case de l'en-tête du tableau pour sélectionner tous les domaines d'un coup.
Sélectionnez Include Domains during AutoSSL. Un message de confirmation indique chaque domaine dont l'exclusion a été levée.
Sélectionnez Run AutoSSL.
Attendez la fin de la vérification, puis rechargez la page.

Chaque domaine affiche désormais un cadenas vert et la mention AutoSSL Domain Validated. L'émission prend généralement quelques minutes, et l'inclusion n'est à faire qu'une fois : les renouvellements ne vous demandent plus rien. Le pas-à-pas complet, avec captures d'écran, se trouve dans Installer un certificat SSL gratuit.

Sélectionnez tout, pas seulement votre domaine principal

La liste comprend les sous-domaines de service créés par cPanel, comme mail., webmail., cpanel., autodiscover. et autoconfig.. Incluez-les tous. Les clients de messagerie se connectent à mail., et Outlook et Apple Mail utilisent autodiscover. et autoconfig. pour se configurer automatiquement. Sans certificat, ces connexions affichent des avertissements de sécurité, même si le site lui-même fonctionne parfaitement.

Vérifiez que le certificat fonctionne

Rendez-vous sur https://example.com et vérifiez l'absence d'avertissement du navigateur, ou testez depuis un terminal :

curl -sI https://example.com | head -n 1

La barre latérale du tableau de bord cPanel permet aussi une vérification rapide : elle indique Active une fois le certificat en place, au lieu de Inactive.

Quand AutoSSL ne parvient pas à émettre le certificat

Si un domaine reste sans certificat alors que vous l'avez inclus, passez en revue les causes suivantes :

Le domaine ne pointe pas vers votre compte. AutoSSL prouve votre contrôle du domaine en récupérant un fichier en HTTP : un domaine qui pointe ailleurs, ou dont la propagation est en cours, échoue donc à la validation. Vérifiez les serveurs de noms utilisés par le domaine.
Le domaine est soumis à des restrictions d'exportation. En vertu de la législation américaine sur les exportations, Sectigo ne peut pas émettre de certificats pour les domaines de certaines juridictions. Let's Encrypt n'a pas cette restriction : sélectionnez-le comme fournisseur dans SSL/TLS Status.
Vous avez besoin d'un wildcard. AutoSSL n'émet que des certificats par nom d'hôte. Pour *.example.com, utilisez l'outil Let's Encrypt™ SSL de cPanel. Les wildcards sont validés par un enregistrement DNS TXT, ce qui se fait automatiquement lorsque votre DNS est hébergé dans cPanel, mais demande une intervention manuelle lorsqu'il est hébergé chez Cloudflare ou chez un registraire. Consultez Installer un certificat wildcard avec Let's Encrypt.
Il s'agit d'un sous-domaine de service sur un domaine alias. cPanel ne crée pas mail. ni cpanel. pour les domaines alias (parqués) : AutoSSL n'a donc rien à sécuriser. Utilisez plutôt le nom d'hôte mail. du domaine principal dans vos clients de messagerie ; l'adresse de la boîte mail n'a pas besoin de correspondre au nom d'hôte du serveur. Consultez Pourquoi AutoSSL ignore certains sous-domaines de service.

D'abord le certificat, ensuite la redirection Forcer HTTPS sur un domaine dépourvu de certificat fonctionnel affiche un avertissement de sécurité du navigateur à chaque visiteur, à la place de votre site. Chargez directement https://example.com et vérifiez que tout fonctionne avant d'activer la moindre redirection.

Étape 2 : forcer HTTPS

Installer un certificat ne redirige pas les visiteurs vers la version sécurisée de votre site. C'est un réglage distinct.

Utilisez l'option de cPanel

C'est la bonne solution pour la quasi-totalité des sites. Elle agit au niveau du serveur web, avant l'exécution de tout code applicatif, et il n'y a rien à défaire si vous changez d'hébergeur.

Dans cPanel, ouvrez Domains.
Repérez votre domaine dans la liste.
Activez Force HTTPS Redirect.

La modification prend effet immédiatement. Pour modifier plusieurs domaines à la fois, cochez-les dans la colonne de gauche et sélectionnez Enable Force HTTPS Redirect au-dessus du tableau.

Mettez WordPress à jour en conséquence

WordPress enregistre sa propre adresse. Si elle commence encore par http://, il continue de générer des liens HTTP et renvoie les visiteurs d'une version à l'autre.

Dans WordPress, allez dans Réglages → Général.
Définissez à la fois l'Adresse web de WordPress (URL) et l'Adresse web du site (URL) sur https://example.com.
Sélectionnez Enregistrer les modifications.

Réservez le .htaccess aux règles conditionnelles

Si vous avez besoin d'un comportement que l'option ne permet pas, par exemple forcer HTTPS sur un sous-répertoire mais pas sur un autre, ajoutez ce qui suit tout en haut du fichier .htaccess de votre racine de document, au-dessus des règles de réécriture existantes. Placez chaque directive sur sa propre ligne : Apache les rejette si elles sont collées les unes aux autres.

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Utilisez R=301 et non R seul : une redirection permanente permet aux moteurs de recherche de considérer l'adresse HTTPS comme canonique. Utilisez %{HTTP_HOST} plutôt qu'un domaine écrit en dur, afin que la règle fonctionne pour tous les domaines et sous-domaines du compte.

Vérifiez la redirection

curl -sI http://example.com | head -n 3

Vous devez obtenir HTTP/1.1 301 Moved Permanently et un en-tête Location: pointant vers l'adresse en https://. Un code 302 signifie que la redirection est temporaire. Pour plus de détails, consultez Forcer HTTPS sur votre site.

Évitez les boucles de redirection

Une boucle de redirection signifie presque toujours que HTTPS est forcé à deux endroits en même temps, typiquement l'option cPanel, plus une règle .htaccess, plus une extension. Choisissez-en une seule et supprimez les autres.

Derrière Cloudflare, le mode SSL Flexible provoque la même boucle : Cloudflare interroge votre site en HTTP, votre serveur redirige vers HTTPS, et ainsi de suite. Réglez le mode SSL de Cloudflare sur Full (strict), qui fonctionne avec votre certificat AutoSSL. Consultez Placer votre site derrière Cloudflare.

Étape 3 : corriger les avertissements de contenu mixte

Si la redirection fonctionne mais que le navigateur affiche toujours Non sécurisé, un cadenas barré ou une page sans mise en forme, c'est que la page charge des images, des feuilles de style ou des scripts en HTTP simple. C'est ce qu'on appelle le contenu mixte. Les navigateurs bloquent purement et simplement les scripts et les feuilles de style, et affichent un avertissement pour les images.

Repérez les ressources en cause

Ouvrez la console du navigateur : dans Chrome, Edge ou Firefox, faites un clic droit sur la page, choisissez Inspecter, puis Console. Dans Safari, activez d'abord le menu Développement dans les préférences avancées. Rechargez la page avec la console ouverte. Chaque avertissement indique une URL commençant par http:// : voilà votre liste de corrections.

Corrigez-les

WordPress : vérifiez que les deux adresses dans Réglages → Général commencent par https://, puis installez l'extension Really Simple SSL, qui réécrit les références en http:// au moment où les pages sont servies. Pour une correction définitive, remplacez les URL dans la base de données avec Better Search Replace, qui gère correctement les données sérialisées, là où un simple rechercher-remplacer en SQL les corrompt.
Sites codés à la main : modifiez chaque référence pour utiliser un chemin relatif comme /logo.png ou une URL absolue en https://. Les chemins relatifs fonctionnent quels que soient le protocole et le domaine.
Ressources tierces : passez à l'URL HTTPS si le site externe en propose une. Sinon, hébergez le fichier vous-même : c'est le seul moyen de le charger de façon sécurisée.

Le guide complet est disponible ici : Corriger les avertissements de contenu mixte.

Testez dans une fenêtre de navigation privée Une copie de la page en cache peut continuer à afficher l'ancien comportement. Videz le cache de votre extension de mise en cache, purgez Cloudflare si vous l'utilisez, et vérifiez plusieurs pages plutôt que la seule page d'accueil.

En résumé

Incluez tous les domaines dans AutoSSL et lancez-le. Vérifiez que https:// se charge sans erreur. Activez Force HTTPS Redirect à un seul endroit et mettez WordPress à jour en conséquence. Utilisez ensuite la console du navigateur pour éliminer les dernières ressources en http://, jusqu'à ce que le cadenas réapparaisse sur chaque page.

Un hébergement avec SSL gratuit intégréL'hébergement WebGee inclut des certificats AutoSSL gratuits qui se renouvellent automatiquement pendant toute la durée de vie de votre compte.

Découvrir l'hébergement Cloud

Questions fréquentes

Combien coûte le certificat SSL ?

Rien du tout. WebGee émet et renouvelle gratuitement les certificats AutoSSL pendant toute la durée de vie du compte, sur l'hébergement mutualisé comme sur l'hébergement revendeur.

Dois-je renouveler mon certificat manuellement ?

Non. Les certificats AutoSSL sont valables 90 jours et se renouvellent automatiquement avant leur expiration. Une fois un domaine inclus dans AutoSSL, les renouvellements ne demandent aucune autre intervention.

Pourquoi AutoSSL n'émet-il pas de certificat pour mon domaine ?

Les deux causes les plus fréquentes sont que le domaine est encore exclu d'AutoSSL, ou qu'il ne pointe pas encore vers votre compte. Les deux cas se présentent de la même manière dans l'interface : vérifiez d'abord l'exclusion, puis les serveurs de noms utilisés par le domaine.

AutoSSL peut-il émettre un certificat wildcard ?

Non. AutoSSL émet des certificats par nom d'hôte. Pour *.example.com, utilisez l'outil Let's Encrypt SSL de cPanel, qui valide les wildcards au moyen d'un enregistrement DNS TXT.