Aller au contenu
DomainVigil
S'inscrire

Guide de référence

Qu'est-ce qu'une chaîne de certificats ?

Un certificat ne se suffit jamais à lui-même. Il est signé par un autre certificat, lui-même signé par un troisième, jusqu'à une racine que votre système connaît d'avance. Quand un maillon manque, le site marche chez vous et échoue chez le client.

7 min de lectureMis à jour le 12 septembre 2026

En bref

Une chaîne de certificats est la suite de certificats qui relie celui de votre site à une autorité reconnue par le système du visiteur. Elle comporte au minimum trois maillons : le certificat du site, un certificat intermédiaire de l'autorité, et un certificat racine installé d'avance dans le navigateur ou le système. Le serveur doit envoyer les deux premiers ; le troisième, il ne l'envoie pas.

Pourquoi il y a une chaîne et pas un certificat

Le navigateur d'un visiteur ne connaît pas votre site et n'a aucune raison de lui faire confiance. En revanche, il connaît d'avance une centaine d'autorités, dont les certificats racine sont livrés avec le système d'exploitation. Toute la sécurité de HTTPS consiste à faire remonter votre certificat jusqu'à l'une de ces racines, par une suite de signatures.

Les autorités ne signent pas directement avec leur racine. Cette clé est trop précieuse : elle est gardée hors ligne, dans un coffre, et ne sert qu'à signer des certificats intermédiaires. Ce sont eux qui émettent au quotidien les millions de certificats de sites. Si un intermédiaire est compromis, on le révoque sans toucher à la racine ni casser la confiance de tout le monde.

Cette architecture explique l'incident le plus courant du métier : votre serveur doit envoyer non seulement son certificat mais aussi les intermédiaires qui le rattachent à la racine. Beaucoup de configurations n'envoient que le premier. Les navigateurs de bureau savent souvent rattraper le maillon manquant en allant le chercher ; les applications mobiles et les clients non graphiques, non.

La chaîne, du certificat du site à la racine

Trois maillons, et une règle de circulation : le serveur envoie ceux du bas, le visiteur possède déjà celui du haut.

  1. 1

    Le certificat du site

    Émis à vos noms de domaine, valable quelques mois, signé par un intermédiaire. C'est celui qu'on installe et qu'on renouvelle.

    émis pour example.com et www.example.com

  2. 2

    Le certificat intermédiaire

    Il appartient à l'autorité de certification et signe des milliers de certificats de sites. Valable plusieurs années, il doit être envoyé par votre serveur en même temps que le vôtre.

  3. 3

    Le certificat racine

    Auto-signé, il est le point d'arrivée. Il n'est jamais envoyé par le serveur : il est déjà installé dans le magasin de confiance du système ou du navigateur du visiteur.

  4. 4

    Ce que le serveur transmet

    Le certificat du site, puis les intermédiaires, dans l'ordre. La racine peut être omise, et il vaut mieux l'omettre : l'envoyer n'apporte rien et alourdit chaque connexion.

  5. 5

    Ce que le visiteur vérifie

    Il remonte la chaîne signature après signature jusqu'à trouver une racine qu'il connaît. Il vérifie au passage les dates, les noms couverts et l'état de révocation de chaque maillon.

Les maillons, et ce qui casse quand l'un manque

Chaque maillon a un émetteur, un lieu de résidence et un mode de panne bien à lui. C'est la colonne de droite qui permet de reconnaître un symptôme.

MaillonQui l'émetOù il vitCe qui casse s'il manque
Certificat du siteL'autorité, via un intermédiaire.Sur votre serveur.Aucun accès sécurisé. Le navigateur affiche un avertissement pleine page.
IntermédiaireLa racine de l'autorité.Sur votre serveur, envoyé avec le certificat du site.La panne la plus sournoise : le site fonctionne dans les navigateurs de bureau et échoue sur mobile, dans les applications et dans les appels entre serveurs.
RacineElle-même : elle est auto-signée.Dans le magasin de confiance du système du visiteur.L'autorité n'est pas reconnue et le certificat est refusé. Cela arrive sur des appareils anciens qui ne reçoivent plus de mises à jour.
Signature croiséeUne seconde racine, généralement plus ancienne.Envoyée en plus par le serveur, quand elle existe.Rien sur du matériel récent. Sur du matériel ancien, c'est ce maillon qui fait la différence entre un site accessible et un site refusé.
Clé privéeVous, au moment de la demande.Sur votre serveur, et jamais transmise.Le certificat devient inutilisable : il prouve une identité dont le serveur n'a plus la preuve.

Vérifiez sur votre domaine, tout de suite

Entrez un nom de domaine : l'outil lit son certificat, son autorité émettrice, sa date d'expiration et les noms qu'il couvre.

Sans inscription, sans e-mail à laisser. Vous pouvez coller une adresse complète : nous en extrayons le domaine.

Le calendrier de réduction des durées de validité

La durée maximale d'un certificat de site est décidée par le secteur, pas par l'autorité qui l'émet. Elle diminue par paliers déjà datés, et chaque palier rend le renouvellement manuel un peu moins tenable.

À partir duDurée maximaleCe que ça implique
aujourd'hui200 joursDeux renouvellements par an. Un oubli se paie en quelques heures d'indisponibilité totale du site.
15 mars 2027100 joursEnviron quatre renouvellements par an. Le calendrier manuel devient une source d'incidents à lui seul.
15 mars 202947 joursEnviron huit renouvellements par an. Plus aucune configuration non automatisée ne tient sur la durée.

Avant le 15 mars 2026, la durée maximale était de 398 jours, soit un renouvellement annuel. C'est le rythme auquel beaucoup de procédures internes ont été écrites, et qu'elles n'ont pas encore quitté.

Les quatre pannes de chaîne

  • Le site fonctionne sur ordinateur et pas sur mobile

    Ce qui le provoque : La chaîne est incomplète : le serveur n'envoie que le certificat du site. Les navigateurs de bureau vont chercher l'intermédiaire manquant, les autres clients abandonnent.

    Le geste qui corrige : Installer le fichier de chaîne complet fourni par l'autorité. Le test doit se faire depuis un outil qui n'a pas de cache de certificats, jamais depuis le navigateur qui a déjà visité le site.

  • Le certificat a expiré sans prévenir

    Ce qui le provoque : Le renouvellement automatique s'est arrêté — enregistrement CAA devenu faux, règle de pare-feu, tâche planifiée en échec — et personne ne regardait la date.

    Le geste qui corrige : Relancer le renouvellement et surveiller la date depuis l'extérieur. Avec des durées qui se raccourcissent, le contrôle ne peut plus reposer sur une note dans un agenda.

  • Le certificat ne couvre pas le nom demandé

    Ce qui le provoque : Le certificat a été émis pour www.example.com seulement, et le visiteur arrive sur example.com — ou l'inverse. Un joker, lui, ne couvre pas le domaine racine.

    Le geste qui corrige : Demander un certificat qui liste tous les noms servis. Vérifier la liste des noms couverts, et non la seule date d'expiration.

  • L'autorité a changé d'intermédiaire

    Ce qui le provoque : Le serveur continue d'envoyer l'ancien fichier de chaîne, qui ne correspond plus au certificat renouvelé.

    Le geste qui corrige : Redéployer la chaîne fournie avec le nouveau certificat. Les procédures automatisées le font seules ; les installations manuelles gardent le vieux fichier indéfiniment.

Les questions qu'on se pose ensuite

Faut-il envoyer le certificat racine avec les autres ?

Non. Le visiteur l'a déjà, sans quoi rien ne fonctionnerait de toute façon. L'envoyer alourdit chaque connexion sans rien apporter, et la norme autorise explicitement à l'omettre.

Comment vérifier que ma chaîne est complète ?

Depuis un outil extérieur qui établit une connexion neuve, sans réutiliser un cache. Un navigateur qui a déjà visité le site peut avoir mémorisé l'intermédiaire manquant et vous montrer un site parfaitement valide alors qu'il ne l'est pas pour un nouveau visiteur.

Un certificat joker couvre-t-il le domaine lui-même ?

Non. Un joker couvre les noms d'un seul niveau en dessous, pas le domaine racine ni les niveaux plus profonds. Il faut donc lister le domaine lui-même en plus du joker.

Que se passe-t-il quand un certificat racine expire ?

Les appareils à jour ont déjà la racine de remplacement et ne voient rien. Les appareils qui ne reçoivent plus de mises à jour, eux, refusent brutalement des sites qui fonctionnaient la veille — une panne qui ne vient pas de votre serveur et que vous ne pouvez pas corriger dessus.

Une chaîne incomplète ne se voit pas depuis votre navigateur

C'est la panne qu'on découvre par un client qui n'arrive pas à payer, ou par une intégration qui refuse de se connecter. DomainVigil contrôle la chaîne et la date d'expiration du certificat de chacun de vos domaines, depuis l'extérieur, tous les jours.

Commencer gratuitement

Cinq domaines gratuits, pour toujours. Sans carte bancaire.

Les autres guides de référence