Chapitre 6 · 6.4
Rediriger toujours les visiteurs vers HTTPS
Même avec un certificat, un visiteur peut encore ouvrir votre site via http://, sans cadenas. Redirigez donc automatiquement tout le monde vers HTTPS. Ne le faites qu'une fois que le certificat fonctionne : ouvrez d'abord vous même https://votredomaine.nl et https://www.votredomaine.nl et vérifiez le cadenas.
Forcer SSL avec HTTPS Redirect
- Cliquez sous Gestion de Compte sur Domaines puis sur votre nom de domaine.
- Vérifiez que SSL sécurisé (1) est activé. Ce n'est qu'alors que vous verrez les options ci dessous.
- Activez sous SSL l'interrupteur Forcer SSL avec HTTPS Redirect (2).
- Cliquez sur MODIFIER (4).
Désormais, toute personne qui ouvre http://votredomaine.nl sera automatiquement redirigée vers https://votredomaine.nl.
HSTS
Au dessus se trouve HSTS avec l'interrupteur HTTP Strict Transport Security inschakelen (3). Celui ci indique aux navigateurs que votre site ne doit désormais s'ouvrir que via HTTPS. C'est légèrement plus sûr qu'une simple redirection.
Attention : DirectAdmin le précise lui même : n'activez HSTS que lorsque les certificats fonctionnent pour tous les noms. Les navigateurs mémorisent HSTS pendant longtemps. Si le certificat ne fonctionne plus par la suite, les visiteurs ne pourront plus du tout accéder à votre site, même pas via HTTP. En cas de doute, laissez HSTS désactivé.
Ou avec .htaccess ou votre site web lui même
Vous pouvez aussi rediriger avec une règle dans .htaccess, ou avec un paramètre ou une extension dans votre site web. N'utilisez qu'une seule méthode. Deux redirections simultanées (par exemple Forcer SSL et une règle dans .htaccess qui fonctionne différemment) peuvent parfois créer une boucle : le navigateur signale alors que la page ne redirige pas correctement.
Dans WordPress, réglez sous Paramètres, Général les deux adresses sur https://. C'est nécessaire pour un cadenas sans avertissement (voir Pas de cadenas ou « non sécurisé » : résoudre le contenu mixte).
Questions fréquentes
Forcer SSL est activé, mais j'arrive quand même sur le site non sécurisé
- Votre navigateur peut encore avoir mémorisé l'ancienne page. Essayez une fenêtre de navigation privée.
- Y a t il dans public_html un fichier .htaccess avec des règles propres qui redirigent plus tôt, par exemple d'une extension de cache ? Celles ci sont parfois prioritaires. Placez alors la règle HTTPS en haut du .htaccess, ou laissez l'extension rediriger vers HTTPS.
- Votre site est il accessible via un pointeur ou un sous domaine ? Activez alors HTTPS là aussi, et assurez vous que ce nom figure dans le certificat.
Après l'activation, je reçois le message 'trop de redirections'
Dans ce cas, deux paramètres se renvoient mutuellement, par exemple Forcer SSL et une extension, ou le proxy de Cloudflare avec le mode SSL Flexible. Désactivez l'un des deux. Si vous utilisez Cloudflare, choisissez le mode SSL Full (strict).