Bij je hoster bestel je een https-certificat.
Nadat het is opgeleverd kun je testen of de website inderdaad bereikbaar is op HTTPS.
Daarna kun je met een Search and Replace plugin je urls omzetten. Je kunt ook een plugin installeren om HTTPS te forceren voor mensen die via HTTP komen, maar dat laatste kun je ook via htaccess doen.

Een kleine aanvulling:

Als je het direct goed wilt doen, vraag je hostingprovider dan ook om informatie over zogenoemde HTTP reactieheaders zoals HTTP Strict-Transport-Security (HSTS). En ook:

• X-Content-Type-Options
• X-XSS-Protection
• Content-Security-Policy

Jammer om te vernemen, en dat terwijl het echt niet zo moeilijk is – of moet zijn. Ik ben helaas niet bekend met jouw hostingomgeving en set-up, maar er is een paar belangrijke stappen om te ondernemen:

1. Installeer een SSL-certificaat
2. In het WordPress Dashboard ga naar Settings > General en wijzig WordPress Address (URL) en Site Address (URL) naar https://.
3. (log opnieuw in via HTTPS)
4. Inspecteer de instellingen, of theme-options, van het gebruikte thema (staan daarin nog http URL’s? Zet die om naar https)
5. Inspecteer het thema op slechte code, dus met volledige http URL’s naar content/assets [1]
6. Redirect niet-SSL/https naar wel https in .htaccess of web.config
7. Pas alle URL’s in de content aan als dit volledige URL’s zijn (dus met http://). Als je overal relatieve URL’s gebruikt hoef je niets te doen. [2]
8. Installeer een SSL-certificaat

[1] voorbeeld van “foute” code:
wp_register_script( 'jquery', 'http://ajax.googleapis.com/ajax/libs/jquery/2.1.4/jquery.min.js', false, '2.1.4', true );

beter is:
wp_register_script( 'jquery', 'https://ajax.googleapis.com/ajax/libs/jquery/2.1.4/jquery.min.js', false, '2.1.4', true );

of
$prefix = is_ssl() ? "https" : "http";
wp_register_script( 'jquery', $prefix.'://ajax.googleapis.com/ajax/libs/jquery/2.1.4/jquery.min.js', false, '2.1.4', true );

[2] gebruik voor het veranderen van URLS in post_content een plugin als “Really Simple SSL“. Uit die plugins informatie:

Your insecure content is fixed by replacing all http:// urls with https://, except hyperlinks to other domains. Dynamically, so no database changes are made (except for the siteurl and homeurl).

Ben je helemaal thuis in MySQL, dan kun je met een expressie alle varianten van http:// omzetten naar https://. Wees zo volledig mogelijk om niet andere URL’s te veranderen. Zie https://www.saotn.org/string-replace-wordpress-posts-mysql/ voor een voorbeeld (en de comments voor een REGEX_REPLACE() voorbeeld).

Documentatie:
https://vevida.com/help/https-ssl-voor-wordpress/
https://blog.sucuri.net/2016/04/troubleshooting-mixed-content-warnings-https.html

en in de Advanced WordPress Facebook Group is ook veel informatie te vinden: https://www.facebook.com/groups/advancedwp/search/?query=ssl (wel even aanmelden)