Activer un certificat SSL et forcer la redirection HTTPS devrait suffire à afficher un cadenas plein, rassurant, à côté de l'adresse du site. Pourtant, il arrive fréquemment que le cadenas reste barré, grisé, ou carrément absent, malgré un certificat parfaitement valide. La cause porte un nom précis : le contenu mixte, ou mixed content.
Contenu mixte actif vs contenu mixte passif
Le contenu mixte survient quand une page chargée en HTTPS tente de récupérer certaines ressources en HTTP simple, non chiffré. On distingue deux niveaux de gravité :
- Le contenu mixte passif : des éléments comme des images chargées en HTTP, moins risqués mais toujours signalés ;
- Le contenu mixte actif : des scripts JavaScript, des feuilles de style ou des iframes chargés en HTTP, qui représentent un risque de sécurité réel, car un script non chiffré pourrait être intercepté et modifié en transit.
Pourquoi le navigateur bloque certaines ressources
Pour le contenu mixte actif, les navigateurs modernes bloquent purement et simplement le chargement de la ressource concernée, sans même tenter de l'afficher, et retirent le cadenas de sécurité pour signaler que la page n'est plus pleinement fiable. Pour le contenu mixte passif, la ressource est généralement chargée malgré tout, mais un avertissement reste affiché dans les outils de développement et parfois visible pour l'utilisateur.
Les causes les plus fréquentes
Sur un site WordPress ou tout CMS ancien passé à HTTPS après coup, la cause la plus courante est la présence de liens en dur commençant par http:// directement enregistrés dans la base de données, dans le contenu des articles, les widgets, ou les réglages de thème, datant d'une époque où le site tournait encore sans HTTPS. Un CDN mal configuré ou une ressource tierce (police, script de suivi) qui ne propose qu'une version HTTP peut aussi en être la cause.
Comment corriger
La correction consiste à remplacer systématiquement toute référence http:// par https:// dans la base de données et les fichiers du site, à l'aide d'un outil de recherche-remplacement adapté, puis à vérifier chaque ressource externe (polices, scripts tiers) pour s'assurer qu'elle est bien disponible en version chiffrée.
Le rôle des outils de scan automatisé
Sur un site comportant plusieurs centaines de pages ou d'articles accumulés au fil des années, rechercher manuellement chaque occurrence de contenu mixte devient rapidement impraticable. Des outils de scan automatisé, qui parcourent systématiquement l'ensemble des pages d'un site à la recherche de ressources non sécurisées, permettent de dresser une liste complète des corrections nécessaires en quelques minutes plutôt qu'en plusieurs heures de vérification manuelle page par page. Certains services de sécurité de site incluent ce type de vérification en continu, signalant automatiquement toute nouvelle occurrence de contenu mixte introduite involontairement par une mise à jour future, un ajout de contenu, ou l'installation d'une nouvelle extension.
Les polices Google Fonts, les bibliothèques JavaScript chargées depuis un CDN public, ou les scripts de suivi statistique représentent une source fréquente et parfois insoupçonnée de contenu mixte, en particulier sur des sites anciens dont certains de ces éléments ont été intégrés il y a plusieurs années, à une époque où HTTPS n'était pas encore systématique sur ce type de ressource externe. La quasi-totalité des services tiers sérieux proposent aujourd'hui une version HTTPS de leurs ressources, ce qui signifie que la correction consiste généralement à modifier simplement le préfixe de l'adresse plutôt qu'à chercher une alternative complètement différente au service utilisé. Vérifier systématiquement, lors de l'ajout de tout nouvel élément externe à un site, qu'il est bien disponible et chargé en version chiffrée, évite d'introduire volontairement une nouvelle source de contenu mixte dans un site par ailleurs entièrement sécurisé.
Comment repérer précisément le contenu mixte sur mon site ?
Les outils de développement intégrés aux navigateurs (onglet console ou sécurité) listent explicitement chaque ressource bloquée ou signalée comme contenu mixte, avec son adresse exacte.
Un plugin WordPress peut-il être responsable de contenu mixte ?
Oui, certaines extensions chargent des ressources tierces en HTTP par défaut dans leur code, indépendamment de la configuration HTTPS globale du site.
Le contenu mixte a-t-il un impact sur le référencement ?
Indirectement oui : un site qui n'affiche pas un cadenas plein et fiable inspire moins confiance, ce qui peut dégrader le comportement des visiteurs, un signal que les moteurs de recherche prennent en compte.
Un passage propre à HTTPS doit toujours inclure cette vérification de contenu mixte. Nos offres SSL et hébergement WordPress incluent un accompagnement sur ce point lors de la mise en place initiale. Pour un audit de votre site actuel, contactez le support VSP TECH.
