Les visiteurs passent par plusieurs redirections avant la page

1. Choisissez l'adresse finale unique et vérifiez que HTTPS fonctionne sur chaque nom. La page est servie à https://example.com ; c'est donc l'adresse vers laquelle toutes les autres doivent pointer. Avant d'ajouter une redirection, ouvrez https:// sur l'autre nom (www.example.com) dans un navigateur : il ne doit afficher aucun avertissement de certificat. Les certificats Let's Encrypt et Cloudflare couvrent les deux noms lorsque les deux sont listés ; s'il en manque un, ajoutez-le d'abord au certificat, sinon chaque redirection depuis ce nom commencera par un avertissement.

2. Mettez en place une seule redirection permanente de chaque autre adresse racine directement vers l'adresse finale. Utilisez la règle correspondant à l'endroit où votre site répond (votre hébergeur peut vous le dire) : une seule règle qui traite le schéma et le www dans la même étape, pas deux règles l'une après l'autre. Utilisez un 301, jamais un 302 ou 307, et conservez le chemin et la chaîne de requête.

Apache ou LiteSpeed (aussi les hébergements Plesk et cPanel avec Apache) : dans le fichier .htaccess du dossier principal du site, au-dessus de la ligne « # BEGIN WordPress »

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} ^www\.example\.com$ [NC]
RewriteRule ^ https://example.com%{REQUEST_URI} [R=301,L]

nginx : les blocs server du site

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name www.example.com;
    # the certificate must cover www.example.com
    return 301 https://example.com$request_uri;
}

Cloudflare, si le site est derrière lui : Rules → Redirect Rules → Create rule

When incoming requests match (custom filter expression):
    http.host eq "www.example.com"

Then: Dynamic redirect, status code 301, preserve query string:
    concat("https://example.com", http.request.uri.path)

• Plesk : Websites & Domains → Hosting Settings : réglez « Preferred domain » sur la forme choisie (https://example.com) et cochez « Permanent SEO-safe 301 redirect from HTTP to HTTPS ». Plesk envoie alors chaque autre adresse racine vers l'adresse finale en une seule étape.
• cPanel : Domains → Redirects : une redirection permanente (301) avec joker de l'autre nom vers l'adresse finale, « Redirect with or without www », ou la règle .htaccess ci-dessus.
• Si un CDN ou un répartiteur de charge termine le HTTPS devant le serveur, le serveur ne voit que du http:// et la règle .htaccess ci-dessus boucle. Testez l'en-tête « X-Forwarded-Proto » au lieu de %{HTTPS}, ou définissez la redirection au niveau du CDN comme avec Cloudflare.
• Supprimez ensuite toute autre règle de redirection pour ces adresses (un ancien plugin « forcer HTTPS », une seconde redirection du panneau de contrôle) : ce sont deux règles qui produisent deux sauts.

3. Dites aux navigateurs d'utiliser https:// dès le départ. Une fois que https:// fonctionne sur les deux noms, envoyez l'en-tête Strict-Transport-Security: max-age=31536000; includeSubDomains sur les deux. Un navigateur qui a visité le site une fois n'essaie alors plus jamais http://, et le saut http:// disparaît pour les visiteurs qui reviennent. Ajoutez « preload » et soumettez le domaine sur hstspreload.org seulement lorsque chaque sous-domaine fonctionne en HTTPS.

4. Vérifier. Demandez à chaque adresse racine sa première réponse : toutes sauf l'adresse finale doivent répondre 301 avec l'adresse finale dans « location », et l'adresse finale doit répondre 200 :

Dans un terminal

curl -sI http://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI https://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI http://example.com/ | grep -i '^HTTP\|^location'
curl -sI https://example.com/ | grep -i '^HTTP\|^location'

Relancez ensuite cette vérification : elle suit les quatre adresses et liste chaque saut.