Cum treci site-ul WordPress pe HTTPS cu certificat SSL

7 min de citit

Când lângă adresa site-ului apare „Nesecurizat”, vizitatorul decide în câteva secunde dacă rămâne sau pleacă. Ca să treci site-ul WordPress pe HTTPS ai nevoie de un certificat SSL, de adresa site-ului schimbată în https și de un redirect care forțează HTTPS pentru tot traficul. La final elimini conținutul mixt, adică resursele rămase pe http care aduc înapoi avertismentul. Făcuți în ordinea de mai jos, pașii nu îți strică site-ul.

Ce înseamnă SSL și HTTPS pentru un site WordPress

SSL (azi, tehnic, TLS) criptează legătura dintre browserul vizitatorului și serverul tău. HTTPS este HTTP care circulă prin această legătură criptată. Certificatul SSL confirmă că site-ul este cel care pretinde că este, iar browserul nu mai afișează „Nesecurizat”.

Fără HTTPS, parolele, adresele de email și mesajele din formulare circulă în text simplu și pot fi citite sau modificate pe drum. Cu HTTPS mai câștigi:

încrederea vizitatorilor: dispar avertismentele roșii;
un mic avantaj în Google, care a confirmat HTTPS ca semnal de ranking;
acces la protocoale mai rapide, HTTP/2 și HTTP/3, care în browsere funcționează doar pe conexiuni securizate, la fel ca anumite funcții ale browserului.

Google își explică poziția în articolul „Why HTTPS matters” de pe web.dev: HTTPS e standardul minim pentru orice pagină, chiar dacă nu cere date sensibile.

Pasul 1: obții un certificat SSL gratuit

Un certificat SSL valid nu costă nimic azi. Majoritatea firmelor de hosting oferă certificate gratuite Let’s Encrypt direct din panoul de control (cPanel, Plesk sau altul), cu reînnoire automată. Caută secțiunea „SSL/TLS” sau „Let’s Encrypt”, alege domeniul și emite certificatul.

Dacă folosești Cloudflare în fața site-ului, ai SSL între vizitator și Cloudflare. Instalează totuși și certificatul de pe server, apoi setează modul SSL pe „Full (strict)”, nu pe „Flexible”.

„Full (strict)” fără certificat valid pe server dă eroarea 526 și site-ul nu se mai deschide. Pe „Flexible”, legătura dintre Cloudflare și serverul tău rămâne necriptată și poți ajunge la o buclă de redirecționări.

Pentru magazine sau site-uri care procesează plăți, un certificat plătit cu validare extinsă poate merita. Pentru majoritatea site-urilor WordPress, Let’s Encrypt ajunge.

Pasul 2: schimbi adresa site-ului din http în https

Fă mai întâi un backup complet (o copie a întregului site). Verifică apoi că adresa cu https:// se deschide fără eroare de certificat. Abia după aceea intri în Setări → Generale și schimbi „Adresă WordPress (URL)” și „Adresă site (URL)” din http:// în https://. Salvează. Poate fi nevoie să te autentifici din nou, iar asta e normal.

Dacă cele două câmpuri sunt gri și nu le poți modifica, adresa e scrisă în fișierul wp-config.php, în constantele WP_HOME și WP_SITEURL. Schimbă-le acolo. Păstrezi adresa de acum și înlocuiești doar http cu https:

define( 'WP_HOME', 'https://domeniul-tau.ro' );
define( 'WP_SITEURL', 'https://domeniul-tau.ro' );

Fluxul trecerii pe SSL și HTTPS în WordPress, în cinci pași.

Pasul 3: forțezi HTTPS cu un redirect 301

Certificatul doar îți permite să servești pagini criptate. Ca fiecare vizitator să ajungă pe ele, oricum ar tasta adresa și de oriunde ar veni, trimiți tot traficul http spre https printr-un redirect 301 (mutare permanentă). Fără el rămâi cu două versiuni ale site-ului, ceea ce e rău pentru SEO.

Pe Apache sau LiteSpeed: regula din .htaccess

Adaugă regula de mai jos în fișierul .htaccess din folderul principal al site-ului, deasupra blocului WordPress (linia # BEGIN WordPress):

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Dacă după regulă apare eroarea „prea multe redirecționări”, serverul tău stă în spatele unui proxy (de exemplu Cloudflare pe „Flexible”) și nu vede că cererea a venit pe https. Întreabă firma de hosting care e regula potrivită pentru serverul lor.

Alte reguli utile din același fișier găsești în ghidul cum securizezi WordPress prin fișierul .htaccess.

Pe Nginx

Pe Nginx, echivalentul este directiva de mai jos, pusă în blocul server care ascultă pe portul 80 (cel pentru http), separat de cel pentru https:

return 301 https://$host$request_uri;

Cu Cloudflare

Dacă folosești Cloudflare, activează și opțiunea „Always Use HTTPS”. Cloudflare face atunci redirectul înainte ca cererea să ajungă la serverul tău.

Pasul 4: elimini avertismentul de conținut mixt (mixed content)

Conținutul mixt apare când pagina se încarcă pe https, dar cheamă unele resurse pe http: o imagine, un script, un fișier CSS sau un font. Browserul consideră pagina parțial nesecurizată. Afișează un avertisment, iar unele resurse pot fi blocate complet.

Cauzele obișnuite:

imagini vechi cu adrese http:// scrise direct în conținut;
scripturi și stiluri încărcate de teme sau pluginuri configurate greșit;
bannere sau iframe-uri (ferestre cu conținut din alt site) încărcate cu http;
fonturi sau fișiere media servite de pe subdomenii fără SSL.

Înlocuiești adresele vechi din baza de date

Adresele vechi cu http rămân în baza de date: în articole, la imagini și în setări. Le schimbi cu o căutare și înlocuire în baza de date. Folosește o unealtă care actualizează și datele serializate (setări salvate ca text într-un format special) fără să le strice. Fă backup înainte.

Cu WP-CLI (linia de comandă pentru WordPress), rulezi întâi o simulare, apoi aceeași comandă fără --dry-run. Scrie adresa exact ca în Setări → Generale, cu sau fără www. Opțiunea --all-tables-with-prefix include și tabelele proprii ale pluginurilor, pe care comanda le sare implicit:

wp search-replace 'http://domeniul-tau.ro' 'https://domeniul-tau.ro' --skip-columns=guid --all-tables-with-prefix --dry-run

Coloana guid rămâne neatinsă. Ea e un identificator intern al articolelor, nu un link real, și nu trebuie modificată.

Dacă nu ai acces la linia de comandă, folosește un plugin precum Better Search Replace. Rulează întâi o simulare (dry run), ca să vezi câte rânduri se schimbă, și abia apoi aplici înlocuirea.

Dacă site-ul e făcut cu Elementor, folosește și unealta lui: Elementor → Unelte → Înlocuiește URL-ul. Elementor își salvează adresele într-un format pe care căutarea obișnuită nu îl prinde.

Rescrii resursele externe pe https

Pentru fonturi, hărți sau widgeturi găzduite pe alte domenii, verifică fiecare adresă și rescrie-o cu https. Serviciile serioase suportă deja HTTPS, așa că de obicei ajunge să schimbi http în https. Cum tratează browserele aceste resurse afli din ghidul „What is mixed content?” de pe web.dev.

Cum verifici că HTTPS merge pe tot site-ul

Deschide site-ul într-o fereastră privată (incognito) și verifică pe mai multe pagini iconița din stânga adresei: prima pagină, un articol, o pagină cu formular și magazinul, dacă ai. Nu trebuie să apară „Nesecurizat” sau un lacăt tăiat.

Apasă F12 și deschide fila „Console”. Orice resursă rămasă pe http apare acolo, cu adresa exactă a fișierului. Repari, reîncarci pagina și repeți până când consola e curată.

Apoi testează redirectul în câteva situații:

tastezi adresa cu http:// și verifici că ajungi pe https://;
intri de pe un link vechi, salvat de mai demult;
încerci și varianta cu www, și pe cea fără www (certificatul trebuie să le acopere pe amândouă).

Toate trebuie să ajungă pe aceeași versiune https, fără bucle de redirecționare. La final mai verifici:

formularul de contact și coșul, dacă ai magazin;
că Google Search Console urmărește versiunea https a site-ului și că sitemapul are adrese cu https;
linkurile din meniuri, bannere și emailurile automate.

Greșeli frecvente când treci pe HTTPS

Uiți redirectul 301. Google vede două site-uri cu același conținut.
Lași Cloudflare pe „Flexible”. Legătura dintre Cloudflare și server rămâne necriptată, iar redirectul spre https poate intra în buclă.
Adresa rămâne scrisă cu http în wp-config.php. Constantele WP_HOME și WP_SITEURL au întâietate față de Setări → Generale, deci le schimbi și pe ele.

Ce urmează după HTTPS

Un certificat valid nu te apără de parole slabe, pluginuri neactualizate sau atacuri brute-force (încercări repetate de a ghici parola). Tratează HTTPS ca parte din securitatea WordPress, alături de headerele de securitate HTTP și de măsurile de securitate pentru WordPress.

Dacă ai făcut pașii și tot apare un avertisment, de multe ori vinovata e o singură resursă dintr-un plugin sau dintr-o temă. Un audit gratuit îți spune exact unde e problema: certificat, redirecturi, headere de securitate sau conținut mixt.

Etichete: Certificat SSL HTTPS Let's Encrypt securitate WordPress SSL