Passer son site en HTTPS sans perdre son référencement

En 2026, un site en HTTPS n'est plus une option : les navigateurs signalent les sites en HTTP comme « non sécurisés », et Google utilise HTTPS comme signal de classement depuis 2014. La migration se fait en quatre étapes : installer un certificat (souvent gratuit), rediriger chaque adresse HTTP vers son équivalent HTTPS par une redirection 301, corriger les liens internes, puis vérifier dans la Search Console.

Pourquoi HTTPS est indispensable

HTTPS chiffre les échanges entre le navigateur du visiteur et votre serveur. Personne sur le trajet, par exemple sur un Wi-Fi public, ne peut lire ou modifier ce qui passe : formulaires, mots de passe, paiements.

• Pour Google : HTTPS est un signal de classement depuis août 2014. Son poids est faible ; il départage surtout des pages équivalentes. Il fait aussi partie des critères d'expérience sur la page décrits par Google.
• Pour les visiteurs : depuis 2018, Chrome affiche « Non sécurisé » à côté des adresses en HTTP. Google a en outre annoncé en octobre 2025 que Chrome activerait par défaut, à partir d'octobre 2026 avec la version 154, le réglage « Toujours utiliser des connexions sécurisées » : le navigateur avertit l'utilisateur avant d'ouvrir un site public en HTTP.
• Pour les fonctionnalités modernes : de nombreuses fonctions des navigateurs (géolocalisation, notifications, certaines technologies de paiement) exigent HTTPS.

Étape 1 : obtenir un certificat

Le certificat SSL/TLS prouve que le site appartient bien au domaine affiché et permet le chiffrement. Trois cas :

• Certificat gratuit Let's Encrypt : proposé en un clic par la plupart des hébergeurs français (o2switch, OVHcloud, Hostinger, Infomaniak…) et renouvelé automatiquement. Il convient à la grande majorité des sites.
• Certificat payant : il apporte surtout une assurance ou une validation de l'entreprise. Le cadenas affiché est le même qu'avec un certificat gratuit.
• Service intermédiaire comme Cloudflare : il fournit HTTPS côté visiteur ; veillez à ce que la connexion entre ce service et votre serveur soit chiffrée elle aussi.

Pensez au renouvellement. Depuis le 15 mars 2026, la durée maximale des nouveaux certificats publics est de 200 jours, et elle doit encore baisser en 2027 puis en 2029, selon le calendrier adopté par le CA/Browser Forum, l'organisme qui fixe ces règles. Le renouvellement automatique devient donc indispensable : un certificat expiré affiche une alerte qui fait fuir presque tous les visiteurs.

Étape 2 : rediriger HTTP vers HTTPS

Chaque adresse en http doit renvoyer vers la même adresse en https, avec une redirection permanente 301. Ne redirigez pas tout vers la page d'accueil : vous perdriez le bénéfice des liens qui pointent vers vos pages intérieures.

Sur un serveur Apache, ces lignes dans le fichier .htaccess, placées en haut, font le travail :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Beaucoup d'hébergeurs proposent aussi une case « Forcer HTTPS » dans leur interface. Profitez-en pour choisir une seule forme d'adresse, avec ou sans www, et y rediriger l'autre : l'objectif est d'arriver sur la version finale en une seule redirection, sans chaîne.

Sur WordPress, modifiez aussi l'adresse du site dans Réglages, puis Général, en remplaçant http par https dans les deux champs.

Étape 3 : corriger le contenu mixte

Une page en HTTPS qui charge une image, un script ou une police en HTTP produit du « contenu mixte ». Le navigateur bloque ces éléments ou retire le cadenas. Pour l'éviter :

• Remplacez dans la base de données les liens internes et adresses d'images commençant par http://votresite.fr. Sur WordPress, une extension de recherche et remplacement (par exemple Better Search Replace) le fait en quelques minutes, après une sauvegarde.
• Vérifiez les scripts tiers (cartes, vidéos, widgets) et utilisez leur version https.
• Mettez à jour la balise canonical, le sitemap et les liens dans le fichier robots.txt pour qu'ils pointent vers les adresses https.

Pour repérer les éléments fautifs, ouvrez la console du navigateur (F12) : les alertes « Mixed Content » y sont listées.

Étape 4 : prévenir Google et vérifier

1. Ajoutez la version https dans la Google Search Console. Une propriété de type « Domaine » couvre automatiquement http, https, avec et sans www.
2. Envoyez le nouveau sitemap contenant les adresses https.
3. L'outil de changement d'adresse de la Search Console n'est pas nécessaire : il sert seulement aux changements de nom de domaine.
4. Mettez à jour l'adresse dans Google Analytics, votre fiche d'établissement Google et vos profils sur les réseaux sociaux.
5. Suivez le rapport d'indexation des pages pendant quelques semaines : les adresses http doivent passer en « Page avec redirection », les https en « indexées ».

Une baisse légère et temporaire du trafic est possible le temps que Google réexplore le site ; elle ne dure en général pas si les redirections sont correctes. La logique est la même que pour un changement d'URL, en plus simple.

Et pour les IA ?

Les assistants IA qui citent leurs sources affichent l'adresse de la page. Un lien en http qui déclenche un avertissement de sécurité dissuade le clic, surtout depuis que les navigateurs avertissent par défaut. Les robots IA, comme les moteurs, suivent les redirections 301 : bien faites, elles transmettent la page sans perte. Vérifiez enfin que votre service de sécurité ou votre pare-feu ne bloque pas les robots de recherche des IA lors de la migration ; notre page sur les robots IA les liste. Pour un contrôle d'ensemble, voir notre liste d'audit.

Questions fréquentes