Corriger les avertissements de contenu mixte

Le contenu mixte signifie qu'une page servie en https:// charge un élément en http:// — une image, un script, une feuille de style, une police ou une iframe. Le navigateur refuse alors de considérer la page comme entièrement sécurisée, et les navigateurs récents bloquent purement et simplement les scripts et feuilles de style non sécurisés, ce qui peut aussi casser l'affichage.

Trouver ce qui n'est pas sécurisé

1. Ouvrez la page dans votre navigateur.
2. Ouvrez les outils de développement (généralement F12, ou clic droit → Inspecter).
3. Regardez l'onglet Console. Les avertissements de contenu mixte indiquent l'URL exacte chargée de manière non sécurisée.
4. L'onglet Réseau montre la même chose : triez par URL de requête et repérez tout ce qui commence par http://.

Notez les URL fautives avant de modifier quoi que ce soit — la correction dépend de leur origine.

Corriger à la source

• Vos propres fichiers sur le même site : remplacez http://votredomaine.com/image.jpg par /image.jpg. Un chemin relatif à la racine suit toujours le protocole de la page, il ne peut donc plus jamais devenir obsolète.
• Fichiers sur un autre site que vous gérez : passez de http:// à https://. Vérifiez d'abord que l'autre site sert bien ce fichier en HTTPS, sinon il ne se chargera tout simplement pas.
• Intégrations tierces (analytics, publicités, polices, cartes, widgets de chat) : utilisez le code HTTPS actuel du fournisseur. Tout ce qui ne peut réellement pas être servi en HTTPS doit être remplacé — il n'existe pas de moyen sûr de le conserver.
• Liens codés en dur dans les thèmes et le CSS : cherchez http:// dans les fichiers de thème et les feuilles de style, et corrigez ceux qui pointent vers des ressources.

Cas particulier de WordPress

1. Allez dans Réglages → Général et vérifiez que Adresse web de WordPress et Adresse web du site commencent par https://.
2. Les anciens articles et le contenu des constructeurs de pages contiennent souvent des URL http:// enregistrées en dur dans la base de données. Faites d'abord une sauvegarde, puis utilisez un outil de recherche-remplacement qui gère les données sérialisées — un simple remplacement SQL corrompt les champs sérialisés.
3. Videz ensuite les caches (extension de cache et navigateur), sinon vous continuerez à voir l'ancien code.

Terminer le travail

Dans Plesk, ouvrez les paramètres Hébergement du domaine et activez Rediriger de HTTP vers HTTPS, pour que personne n'atteigne la version non sécurisée de la page.

L'avertissement persiste ?

Ouvrez un ticket depuis la section Support de votre tableau de bord et collez l'avertissement exact de la console, avec l'URL non sécurisée. Ne dites pas seulement « le cadenas n'apparaît pas » — c'est l'URL qui nous dit où chercher.