Noteur SSL
Pas seulement « le certificat est-il valide ? », mais « toute la configuration TLS est-elle à jour ? ». Cette page sonde chaque version du protocole séparément, lit la clé et la signature du certificat, vérifie la confidentialité persistante et HSTS, et transforme le résultat en une note en lettre — avec chaque déduction expliquée, pour qu’un B ou un C vous dise exactement quoi corriger.
Vous voulez surveiller cela en continu ? Surveillez-le gratuitement avec myeventwatch — alertes d’expiration et d’indisponibilité, sans carte.
Ce que la note mesure
Une vérification de certificat répond à la question de savoir si un document est valide. Une configuration peut réussir cette vérification et rester faible : un serveur qui répond en TLS 1.0 à quiconque le demande, un chiffrement qui permet à une future compromission de la clé de déchiffrer le trafic enregistré aujourd’hui, un en-tête HSTS manquant qui laisse la première visite rétrogradable. Le noteur mesure donc quatre choses, chacune avec sa propre section dans le résultat. La matrice des protocoles effectue une poignée de main épinglée à chacun de TLS 1.0, 1.1, 1.2 et 1.3 — une version ne compte comme prise en charge que si une poignée de main épinglée sur elle aboutit réellement, donc « prise en charge » est mesuré, et non déduit de la version qui s’est trouvée négociée. La section certificat rapporte ce que le serveur présente même lorsqu’il échoue à la validation : émetteur, noms couverts, fenêtre de validité, type et taille de clé, et algorithme de signature. La confidentialité persistante se lit dans le chiffrement négocié : les suites TLS 1.3 la possèdent par construction, les anciennes seulement lorsqu’elles utilisent un échange de clés éphémère. Et HSTS est lu dans la réponse racine du domaine, avec son max-age et ses drapeaux.
Une omission délibérée : l’OCSP stapling n’est pas vérifié. La bibliothèque TLS utilisée par ce service n’expose pas les réponses agrafées, donc le noteur ne peut pas les observer et le dit, plutôt que de deviner. Le stapling n’aide ni ne nuit à la note ; s’il compte pour vous, vérifiez-le avec openssl depuis votre propre machine. La grille de notation elle-même est écrite ci-dessous, en entier, parce qu’une note que l’on ne peut pas auditer n’est qu’un badge.
La grille, en langage simple
Chaque site part de A+, et les déductions plafonnent la note — le plafond applicable le plus sévère l’emporte, et chacun apparaît comme un constat dans le résultat. F signifie que les navigateurs rejettent le site ou qu’il n’y a pas de TLS utilisable : un certificat expiré, un certificat auto-signé, un certificat qui ne couvre pas le nom d’hôte, une signature MD5, ou aucune poignée de main réussie sur le port 443. C signifie obsolète ou non fiable : une chaîne qui ne valide pas (il manque généralement un intermédiaire), une clé faible (RSA sous 2048 bits, ou une petite courbe elliptique), une signature SHA-1, ou un protocole maximal pris en charge de TLS 1.1 ou plus ancien. B signifie une faiblesse réelle mais supportable : un protocole hérité encore activé à côté des actuels, ou un chiffrement négocié sans confidentialité persistante. A signifie un petit problème : pas d’en-tête HSTS, un max-age HSTS inférieur à six mois, ou un certificat dans sa fenêtre de renouvellement de 30 jours. Corrigez les constats dans l’ordre — F et C d’abord, puis B, puis A — et renotez après chaque changement ; le cache d’une heure signifie que vous voudrez peut-être attendre avant de revérifier une correction. En coulisses, la page appelle GET /api/check/ssl-grade sur le serveur de sysosx, qui exécute les sondes et met la note en cache pendant une heure.
Outils associés : le vérificateur SSL pour la vue rapide du certificat et le compte à rebours d’expiration, le bilan de santé du site pour l’accessibilité, le certificat, l’expiration et les enregistrements réunis, la chaîne de statuts HTTP quand la configuration TLS est bonne mais pas le chemin de redirection, et le scanner de ports pour ce qui écoute d’autre sur l’hôte en plus du port 443. Pour ce qui a déjà été émis pour le domaine plutôt que ce qu’il présente aujourd’hui, utilisez la recherche Certificate Transparency.
Lecture complémentaire : comment les notes TLS se gagnent et se perdent — les pannes courantes derrière chaque plafond et leurs corrections, dans l’ordre où elles valent la peine.
Questions fréquentes
En quoi est-ce différent du vérificateur SSL ?
Le vérificateur SSL répond à une question : quel certificat ce serveur présente-t-il, et est-il valide ? Le noteur audite toute la configuration TLS : quelles versions du protocole le serveur offre encore (TLS 1.0 à 1.3, chacune sondée séparément), si le chiffrement négocié offre la confidentialité persistante, la taille de clé et l’algorithme de signature du certificat, et si HSTS est défini. Utilisez le vérificateur pour un compte à rebours rapide d’expiration ; utilisez le noteur quand vous voulez savoir si la configuration elle-même est à jour.
Que signifie chaque note ?
A+ est un résultat propre : protocoles actuels uniquement, confidentialité persistante, une chaîne valide couvrant ce nom d’hôte et un HSTS de longue durée. A signifie un petit problème, généralement un HSTS manquant ou court, ou un certificat dans sa fenêtre de renouvellement de 30 jours. B signifie une faiblesse réelle mais supportable : un protocole hérité encore activé, ou un chiffrement sans confidentialité persistante. C signifie quelque chose d’obsolète ou de non fiable : une chaîne qui ne valide pas, une clé faible ou une signature SHA-1, ou un protocole maximal de TLS 1.1 ou plus ancien. F signifie que les navigateurs rejettent le site ou qu’il n’y a pas de TLS utilisable : un certificat expiré, auto-signé ou non concordant, ou une signature MD5.
Pourquoi un serveur est-il plafonné à B pour la seule prise en charge de TLS 1.0 ?
Parce que « prise en charge » est un fait sur le serveur, pas sur vos visiteurs. Rien d’actuel ne négocie TLS 1.0, donc le laisser activé n’achète aucune compatibilité et maintient en offre les chiffrements les plus faibles. Le plafond, c’est le noteur qui refuse d’appeler actuelle une configuration tant qu’un protocole de 1999 répond encore. Le désactiver tient généralement en une ligne de configuration, et la note se rétablit aussitôt.
Pourquoi le noteur ne vérifie-t-il pas l’OCSP stapling ?
Limite honnête, énoncée sur la page : la bibliothèque TLS utilisée par ce service n’expose pas les réponses OCSP agrafées, donc le noteur ne peut pas les observer. Plutôt que de deviner, il signale le stapling comme « non vérifié » et le laisse n’aider ni nuire à la note. Si le stapling compte pour vous, vérifiez-le avec openssl s_client -connect host:443 -status depuis votre propre machine.
Pourquoi le résultat est-il mis en cache pendant une heure ?
Une note ne change que lorsque la configuration TLS du serveur change, ce qui est rare et délibéré — contrairement à la propagation DNS, où la réponse est l’objectif. Les nouvelles vérifications sont limitées par visiteur (une vingtaine par heure, avec une petite marge de rafale) comme les autres vérifications côté serveur, et un résultat en cache est étiqueté comme tel. Si vous venez de corriger quelque chose, attendez la fin de l’heure ou revérifiez une fois le cache expiré.