HTTPS — En bref
HTTPS est la version sécurisée de HTTP. Dans une adresse, il se reconnaît au préfixe https://. Il chiffre les échanges entre le navigateur et le serveur et permet de vérifier que la connexion correspond bien au nom de domaine demandé.
Tous les sites publics devraient être accessibles en HTTPS, y compris les simples sites vitrines. Lorsqu’un site reste en HTTP, le navigateur affiche généralement une indication comme « Non sécurisé », notamment lorsqu’un formulaire ou une connexion est proposé. HTTPS protège la connexion, mais ne rend pas automatiquement le site fiable ou sécurisé.
HTTPS dans le contexte du Web
HTTPS doit être utilisé pour la page elle-même, mais aussi pour les ressources qu’elle charge : feuilles de style, scripts JavaScript, images, polices, iframes et appels d’API.
Lorsqu’une page HTTPS tente de charger un script en HTTP, il s’agit de contenu mixte. Comme un script peut modifier la page ou intercepter des données, les navigateurs bloquent généralement son chargement et signalent le problème dans la console. La page peut alors perdre certaines fonctionnalités. D’autres ressources, comme certaines images, peuvent être automatiquement converties en HTTPS ou être bloquées selon le navigateur. Spécification W3C sur le contenu mixte
HTTPS pour les développeurs
HTTPS établit une connexion TLS avant les échanges HTTP et s’appuie sur un certificat valide pour le nom de domaine. Il faut configurer le serveur ou le proxy, renouveler le certificat, rediriger correctement HTTP vers HTTPS, éviter le contenu mixte et vérifier les versions de TLS ainsi que les suites cryptographiques utilisées.
Il faut également contrôler les cookies Secure, les appels d’API, les URL générées par WordPress et le fonctionnement des proxies ou CDN afin d’éviter les boucles de redirection ou les ressources encore appelées en HTTP.