Installer SSL Let's Encrypt sur WordPress : Le Guide 2026

Let's Encrypt est l'autorité de certification gratuite référence depuis 2016. Délivre 300 millions de certificats actifs. SSL = obligatoire en 2026 (Google Chrome marque sites HTTP comme "Non sécurisé").

SSL Let's Encrypt — Pourquoi ?

5 raisons :

1. Sécurité : chiffrement transit (HTTPS) — protéger formulaires, login, paiement
2. SEO : Google favorise HTTPS depuis 2014
3. Confiance : navigateurs marquent HTTP comme "Non sécurisé"
4. Réglementation : RGPD impose chiffrement données transit
5. Gratuit : Let's Encrypt offre des certificats à 0 €

Activation Automatique chez Hébergeurs

o2switch

Automatique. SSL Let's Encrypt activé dès propagation DNS (~24-48 h). Vérifier : cPanel → SSL/TLS Status.

Voir tutoriel o2switch cPanel.

Infomaniak

Automatique. Activation via Manager Infomaniak → Domain → SSL → activer Let's Encrypt.

OVHcloud

Semi-automatique. Espace Client → Hébergement → Multisite → SSL → activer Let's Encrypt. Délai 2-15 min.

Voir guide OVH WordPress.

Hostinger / EX2 / PlanetHoster / LWS

Activation 1-clic depuis hPanel / cPanel.

Installation Manuelle sur VPS (Certbot)

Sur VPS Ubuntu 22.04 avec nginx :

# Installer Certbot
sudo apt update
sudo apt install certbot python3-certbot-nginx -y

# Générer + installer SSL pour domaine
sudo certbot --nginx -d votresite.fr -d www.votresite.fr

# Test renouvellement
sudo certbot renew --dry-run

# Renouvellement auto via systemd (déjà configuré)
sudo systemctl status certbot.timer

Certbot modifie automatiquement votre vhost nginx pour activer HTTPS + redirection HTTP → HTTPS.

Apache (alternative)

sudo apt install certbot python3-certbot-apache -y
sudo certbot --apache -d votresite.fr

Configurer WordPress pour HTTPS

Méthode 1 — Plugin Really Simple SSL (Recommandé)

1. Installer plugin Really Simple SSL (gratuit, 5M+ téléchargements)
2. Activer plugin → cliquer "Activer SSL" sur popup
3. Plugin gère automatiquement :
   • Mise à jour siteurl et home dans BDD
   • Redirection 301 HTTP → HTTPS
   • Correction mixed content
   • Headers de sécurité (HSTS, X-Content-Type)

Méthode 2 — Manuel via wp-config.php

// wp-config.php — avant /* That's all */
define('FORCE_SSL_ADMIN', true);

if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
    $_SERVER['HTTPS'] = 'on';
}

Puis mettre à jour URLs dans WP Admin :

• Réglages → Général → Adresse web (URL) = https://votresite.fr
• Réglages → Général → Adresse de site (URL) = https://votresite.fr

Méthode 3 — .htaccess Redirection

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Corriger Mixed Content

Le mixed content = page HTTPS chargeant ressource HTTP (image, CSS, JS). Bloque par les navigateurs.

Détection

• Console Chrome (F12) → onglet Console → erreurs "Mixed Content"
• Plugin Why No Padlock (audit)

Correction

Méthode plugin : Really Simple SSL + Premium si nécessaire, ou Better Search Replace (gratuit) :

1. Plugin Better Search Replace
2. Outils → Better Search Replace
3. Search : http://votresite.fr
4. Replace : https://votresite.fr
5. Cocher toutes les tables
6. Run as dry run d'abord
7. Si OK : décocher dry run → Run

Méthode WP-CLI :

wp search-replace 'http://votresite.fr' 'https://votresite.fr' --all-tables --dry-run
wp search-replace 'http://votresite.fr' 'https://votresite.fr' --all-tables

Vérifier SSL Installation

• https://www.ssllabs.com/ssltest/ — note A+ visée
• https://www.whynopadlock.com/ — détection mixed content
• Console Chrome (F12) — Onglet Sécurité → Connection is secure

Renouvellement Automatique

Let's Encrypt = certificats 90 jours. Renouvellement automatique chez :

• Hébergeurs mutualisés : AutoSSL natif (o2switch, Infomaniak, OVH)
• VPS : Certbot systemd timer (vérifier systemctl status certbot.timer)

Notification email si renouvellement échoue.

HSTS (Bonus Sécurité)

Activer HSTS force HTTPS au niveau navigateur (cache 6 mois - 2 ans).

.htaccess :

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

nginx :

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

⚠️ Attention : une fois HSTS activé, impossible de revenir HTTP rapidement (cache navigateur).

Questions Fréquentes

Comment installer SSL Let's Encrypt sur WordPress ?

Chez hébergeur mutualisé (o2switch, Infomaniak, OVH) : activé automatiquement, rien à faire. Sur VPS : sudo certbot --nginx -d votresite.fr. Puis plugin Really Simple SSL côté WordPress pour forcer HTTPS.

Pourquoi SSL Let's Encrypt est-il gratuit ?

Let's Encrypt est fondé par EFF, Mozilla, Cisco, Akamai pour démocratiser HTTPS. Financé par dons + sponsors. Toujours gratuit, durée 90 jours auto-renouvelable.

Mon SSL Let's Encrypt expire après 90 jours — c'est normal ?

Oui. Let's Encrypt valide 90 jours par sécurité. Renouvellement automatique par votre hébergeur ou Certbot. Vérifier que le renouvellement fonctionne via sudo certbot renew --dry-run (VPS) ou interface hébergeur.

Mixed content WordPress — comment corriger ?

Plugin Really Simple SSL corrige automatiquement la majorité. Pour cas tenaces : Better Search Replace pour remplacer URLs HTTP → HTTPS dans BDD WordPress.

En Savoir Plus

• Le tutoriel o2switch cPanel
• Le tutoriel OVH WordPress
• Le guide configurer DNS Cloudflare
• Le guide hébergement WordPress écologique