netlupaVérifier le certificat SSL d'un site
Saisis un domaine pour vérifier si son certificat HTTPS est valide, combien de jours il lui reste et quels noms il couvre.
Comment vérifier un certificat SSL
Saisis le domaine du site (ou colle son URL). Pour un autre service, ajoute le port : :465 (SMTP), :993 (IMAP)…
Clique sur « Vérifier » : nous nous connectons comme le ferait un navigateur et lisons le certificat.
Vérifie s'il est valide, combien de jours il lui reste et s'il couvre tous les noms que tu utilises (avec et sans www).
Qu'est-ce qu'un certificat SSL (TLS) ?
Le certificat est le document numérique qui permet à un site d'utiliser HTTPS. Il sert à deux choses : chiffrer la connexion entre ton navigateur et le serveur, et prouver que le serveur appartient vraiment au domaine que tu as saisi et n'est pas un imposteur.
Il est émis par une autorité de certification (Let's Encrypt, DigiCert, Sectigo, Google Trust Services…) après avoir vérifié que le demandeur contrôle le domaine. Même si l'on dit encore « SSL », le protocole actuel est TLS : SSL est obsolète depuis des années.
Pourquoi un certificat cesse d'être valide
- Expiration : tous les certificats expirent. Ceux de Let's Encrypt durent 90 jours, et la durée maximale de tout certificat est réduite par étapes jusqu'à 47 jours. Le renouvellement automatique est la norme.
- Nom qui ne correspond pas : le certificat de example.com ne vaut pas pour www.example.com sauf s'il figure dans sa liste de noms (ou s'il s'agit d'un générique *.example.com).
- Chaîne incomplète : le serveur doit aussi envoyer les certificats intermédiaires. S'il en manque un, certains navigateurs et presque tous les programmes échouent.
- Auto-signé : généré par le serveur lui-même, sans autorité derrière. Valable pour des tests, pas pour un site public.
- Révoqué : l'émetteur l'a annulé, par exemple parce que la clé privée a fuité.
Ce qu'il faut regarder dans le résultat
- Jours restants : s'il reste moins de deux semaines et que le renouvellement est automatique, quelque chose ne fonctionne pas.
- Noms couverts : vérifie que tous les noms que tu utilises y figurent, avec et sans www, ainsi que les sous-domaines.
- Émetteur : il indique quelle autorité l'a signé et donc où le renouveler.
- Clé publique : RSA de 2048 bits ou plus, ou ECDSA (plus rapide avec la même sécurité).
- Protocole : TLS 1.3 ou 1.2. Les versions 1.0 et 1.1 sont retirées et les navigateurs ne les acceptent plus.
Aussi pour la messagerie et d'autres services
Les serveurs de messagerie, LDAP ou DNS chiffré utilisent les mêmes certificats. Ajoute le port au domaine pour les vérifier :
- 465 : envoi de courrier (SMTP sur TLS).
- 993 : IMAP sur TLS.
- 995 : POP3 sur TLS.
- 636 : LDAP sur TLS.
- 853 : DNS sur TLS.
- 8443 : interfaces web alternatives.
Pour des raisons de sécurité, nous n'autorisons que ces ports et ne nous connectons jamais à des adresses privées.
Questions fréquentes
Comment savoir quand expire le certificat de mon site ?
Saisis ton domaine dans l'outil : tu verras la date exacte et les jours restants. Dans le navigateur, tu peux aussi le voir en cliquant sur le cadenas à côté de l'adresse.
Le site fonctionne dans mon navigateur, mais ici la chaîne n'est pas de confiance. Pourquoi ?
C'est généralement une chaîne incomplète : certains navigateurs téléchargent eux-mêmes l'intermédiaire manquant, mais beaucoup de programmes, d'applications mobiles et de serveurs ne le font pas. Configure ton serveur pour envoyer le certificat avec sa chaîne complète (fullchain).
Un certificat gratuit est-il moins sûr qu'un certificat payant ?
Non. Le chiffrement est le même. Les certificats payants peuvent inclure une validation de l'entreprise (OV/EV), des garanties ou du support, mais les navigateurs les traitent exactement comme un certificat Let's Encrypt.
Qu'est-ce qu'un certificat générique (wildcard) ?
Un certificat émis pour *.example.com, valable pour tout sous-domaine d'un niveau (www, boutique, mail…), mais pas pour example.com seul ni pour sub.sub.example.com, sauf s'ils sont ajoutés à part.