Corriger les redirections HTTPS et le contenu mixte

Rediriger HTTP vers HTTPS

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Sur Cloudflare ? Utilisez le mode SSL/TLS Full (strict). Le mode « Flexible » communique avec votre serveur en HTTP, ce qui, combiné à une redirection côté serveur, provoque une boucle de redirection infinie.

Corriger le contenu mixte

Le contenu mixte, c’est tout ce qui est chargé en http:// sur une page HTTPS. Repérez-le dans DevTools → Console, ou dans vos résultats HackGrade. Dans WordPress, mettez à jour les adresses du site dans Réglages → Général, puis remplacez les anciens liens dans la base de données (essayez d’abord avec --dry-run) :

wp search-replace 'http://example.com' 'https://example.com' --skip-columns=guid --dry-run

Comme filet de sécurité, la directive CSP upgrade-insecure-requests fait charger aux navigateurs les ressources http:// en https://.

Gardez le certificat en renouvellement automatique

La durée de vie des certificats raccourcit dans tout le secteur : le renouvellement doit donc être automatique. Avec certbot :

sudo certbot renew --dry-run