Pas de cadenas ou « non sécurisé » : résoudre le contenu mixte

Votre certificat fonctionne, votre site s'ouvre en https, et pourtant aucun cadenas ou un avertissement s'affiche ? Il est probable que votre page charge encore des éléments via http:// : images, polices, scripts ou vidéos. On appelle cela du mixed content (contenu mixte). Le navigateur considère alors que la page n'est pas entièrement sécurisée.

Comment trouver ce qui se charge encore via http

1. Ouvrez votre site dans Chrome, Edge ou Firefox via https.
2. Cliquez sur l'icône à gauche de l'adresse. Vous y verrez si la connexion est sécurisée.
3. Appuyez sur F12 et ouvrez l'onglet Console. Vous y trouverez des messages avec Mixed Content, accompagnés de l'adresse de chaque élément qui se charge encore via http.

Vous pouvez aussi utiliser un outil de vérification en ligne, comme whynopadlock.com.

Résoudre le problème dans WordPress

1. Dans WordPress, allez dans Paramètres puis Général.
2. Dans Adresse WordPress (URL) et Adresse du site (URL), remplacez http:// par https://.
3. Remplacez les anciennes adresses dans vos articles et vos pages. Vous pouvez utiliser une extension comme Better Search Replace : recherchez http://votredomaine.fr et remplacez par https://votredomaine.fr. Faites d'abord une sauvegarde.
4. Videz ensuite le cache de votre extension de cache et celui de votre navigateur.

Attention : Si vous configurez les adresses de WordPress en https avant que le certificat fonctionne, vous ne pourrez plus accéder à votre administration. Vérifiez donc d'abord que https://votredomaine.fr fonctionne.

Résoudre le problème sur d'autres sites web

• Recherchez http:// dans vos fichiers HTML, votre thème et vos paramètres, et remplacez-le par https://.
• Si vous chargez un élément provenant d'un autre site web (une police, une vidéo, un widget), utilisez l'adresse https de ce site. S'il ne fonctionne qu'en http, cherchez une alternative.
• Pour vos propres liens, préférez des adresses sans domaine, comme /images/logo.png. Elles fonctionnent aussi bien en http qu'en https.

Autres causes de la mention « non sécurisé »

• Le certificat a expiré ou correspond à un autre nom. Cliquez sur l'icône à gauche de l'adresse et consultez le certificat. Consultez ensuite Let's Encrypt échoue : causes et solutions.
• Vous ouvrez le site via http. Redirigez automatiquement les visiteurs vers https (voir Rediriger toujours les visiteurs vers HTTPS).
• Vous ouvrez un nom qui ne figure pas dans le certificat, par exemple www alors que seul le domaine sans www dispose d'un certificat (voir Certificat pour www, sous-domaines et wildcard).