Vérificateur SSL

Pointez-le sur n’importe quel domaine et lisez le certificat que son serveur présente : qui l’a émis, ce qu’il couvre, si la chaîne et le nom d’hôte se valident, le protocole TLS utilisé — et un compte à rebours clair des jours qu’il vous reste.

N’attendez pas que le compte à rebours atteigne zéro : surveillez-le gratuitement avec myeventwatch et soyez alerté avant l’expiration.

Ce qu’une vérification de certificat vous apprend

Un certificat TLS est un petit document public aux conséquences démesurées. Il lie une clé publique à une liste de noms, il est signé par un émetteur auquel les navigateurs de vos visiteurs doivent faire confiance, et il porte des dates de début et de fin strictes. Ce vérificateur effectue une véritable poignée de main TLS contre le domaine sur le port 443 — la même négociation que le navigateur d’un visiteur qui vient pour la première fois — et rapporte ce qui revient. L’émetteur vous dit quelle autorité de certification se tient derrière le site, ce qui est utile lorsque vous héritez d’une infrastructure et devez savoir où vivent les renouvellements. Le sujet et la liste SAN montrent exactement quels noms d’hôte le certificat couvre ; un nom manquant — le domaine nu sans www, ou un sous-domaine oublié — est l’une des causes les plus fréquentes d’avertissements du navigateur sur des sites par ailleurs sains.

La fenêtre de validité est la partie qui a une échéance. Le vérificateur convertit la date de fin de validité en un compte à rebours des jours restants et le colore : confortable au-delà de quatre-vingt-dix jours, ambre en deçà de quatre-vingt-dix, rouge en deçà de trente. Il indique aussi si la chaîne se valide — le serveur doit présenter non seulement son propre certificat, mais aussi les certificats intermédiaires qui le relient à une racine de confiance, dans le bon ordre —, si le nom d’hôte correspond et quelle version de protocole a été négociée, de sorte qu’un point de terminaison TLS 1.0 vieillissant se voit d’un coup d’œil.

Pourquoi les certificats expirent au pire moment

Les certificats modernes sont délibérément de courte durée. Les émetteurs automatisés accordent couramment quatre-vingt-dix jours, ce qui est une bonne pratique de sécurité et un tapis roulant opérationnel implacable : douze renouvellements par an, chacun avec une petite chance qu’une automatisation échoue en silence — un défi DNS qui ne se valide plus, un script de renouvellement sur un serveur mis hors service, un plugin qui a cessé de fonctionner après une mise à jour. Le mode de défaillance est brutal dans sa simplicité : un matin, le certificat est expiré, chaque navigateur affiche un avertissement en pleine page, et la plupart des visiteurs partent au lieu de cliquer pour continuer. Les moteurs de recherche, les prestataires de paiement et les clients d’API sont encore moins indulgents. La seule défense fiable est de connaître la date et d’en être rappelé, et c’est pourquoi chaque résultat de cette page offre une surveillance continue gratuite via myeventwatch : le vérificateur vous montre le compte à rebours du jour, le moniteur s’assure que vous en entendiez parler à trente jours, à quatorze et à sept.

Lire un résultat problématique

Si le vérificateur signale une erreur au lieu d’un certificat, le message nomme la défaillance avec précision. No TLS signifie que rien n’a répondu sur le port 443 — le site est peut-être uniquement en HTTP ou derrière un pare-feu. Les résultats Expired et self-signed affichent toujours l’émetteur et les dates du certificat présenté, car un site cassé a toujours un certificat qui vaut la peine d’être lu. Une non-correspondance du nom d’hôte signifie que la liste de noms du certificat ne comprend pas le domaine que vous avez saisi — vérifiez si le site est censé être joint sous un autre nom, ou si c’est le mauvais certificat qui est servi. Une chaîne non fiable signifie presque toujours un certificat intermédiaire manquant sur le serveur, ce que certains navigateurs masquent en allant le chercher eux-mêmes — vos habitués peuvent ne voir aucun problème alors que chaque nouveau visiteur en voit un.

Vous voulez l’audit complet, pas seulement le certificat ? Le noteur SSL sonde chaque version de protocole séparément, vérifie la confidentialité persistante et HSTS, et note l’ensemble de la configuration — le vérificateur vous dit si le certificat est valide, le noteur vous dit si la configuration est à jour. Et pour l’historique d’émission plutôt que la poignée de main en direct, la recherche Certificate Transparency énumère chaque certificat que les journaux publics détiennent pour le domaine, y compris ceux qu’aucun serveur ne présente plus.

Questions fréquentes

Que montre le vérificateur SSL ?

Le certificat qu’un serveur présente réellement sur le port 443 : l’émetteur, le sujet, les noms qu’il couvre (SAN), ses dates de début et de fin de validité avec un compte à rebours des jours restants, le protocole TLS négocié, et si la chaîne se valide et si le nom d’hôte correspond.

Pourquoi mon certificat apparaît-il comme invalide alors que le site se charge bien chez moi ?

Les navigateurs mettent en cache et pardonnent de façons qu’une poignée de main fraîche ne fait pas. Les causes fréquentes sont un intermédiaire expiré, une chaîne qui n’est valide que parce qu’un navigateur a comblé le trou depuis son cache, ou un certificat dont la liste de noms ne comprend pas le nom d’hôte exact. Le vérificateur rapporte ce que voit un client strict qui vient pour la première fois.

Combien de jours avant l’expiration devrais-je agir ?

Renouvelez ou réémettez dès que vous êtes à moins de 30 jours ; traitez tout ce qui est sous 90 jours comme un travail programmé. Les certificats automatisés ne vivent souvent que 90 jours au total, donc une configuration saine les renouvelle en continu plutôt qu’à l’échéance. Cette page fait passer le compte à rebours à l’ambre sous 90 jours et au rouge sous 30.

Ce vérificateur prend-il en charge d’autres ports que le 443 ?

Non. Par sécurité et par simplicité, le vérificateur ne se connecte jamais qu’au port HTTPS standard du domaine que vous nommez — pas de ports personnalisés, de chemins ni d’adresses IP.

Puis-je être alerté avant l’expiration de mon certificat ?

Oui — c’est exactement ce que configure le bouton « Monitor this free » sur un résultat. myeventwatch surveille le certificat en continu et vous alerte avant l’expiration au lieu que vous ayez à penser à revérifier.