Aller au contenu
DomainVigil
S'inscrire

Outil gratuit

Ce certificat SSL est-il valide ?

La date d'expiration du certificat, son émetteur, les noms qu'il couvre et l'état de sa chaîne. Le contrôle se fait sur le domaine, puis sur www s'il ne répond pas.

Sans inscription, sans e-mail à laisser. Vous pouvez coller une adresse complète : nous en extrayons le domaine.

Ce qu'un visiteur voit quand il expire

Pas une petite icône : un écran d'avertissement plein cadre, rouge, qu'il faut délibérément contourner pour accéder au site. Sur mobile, beaucoup de visiteurs font demi-tour. Et les formulaires, les paiements et les API qui pointaient vers le site cessent de fonctionner sans prévenir.

Le renouvellement automatique ne suffit pas

Let's Encrypt renouvelle tout seul — tant que le renouvellement fonctionne. Un changement d'adresse IP, une règle de pare-feu, un fichier de configuration déplacé, et le renouvellement échoue en silence. Personne ne le remarque jusqu'au jour de l'expiration, parce que rien ne le signale.

La chaîne de confiance

Le navigateur ne vous fait pas confiance, il fait confiance à une racine

Votre certificat n'a aucune valeur seul. Il vaut par ce qui l'a signé, qui vaut lui-même par ce qui l'a signé, jusqu'à une autorité racine que le navigateur possède déjà. Choisissez ce que votre serveur envoie et regardez le pont se former, ou pas.

Ce que le serveur envoie

Envoyé par votre serveur

  • example.comVotre certificat
  • Autorité intermédiaireMaillon manquant

Déjà dans le navigateur

Autorités racines installées avec le système

Autorité racineA signé l'intermédiaire

Le pont ne tient pas partout

Rien ne relie votre certificat à une racine connue. Certains navigateurs s'en sortent en allant chercher l'intermédiaire eux-mêmes ou en le retrouvant dans leur cache, d'autres non. C'est la panne qui s'entend le plus souvent sous la forme : « chez moi ça marche, sur mon téléphone non ».

Un navigateur ne valide jamais un certificat sur sa seule présentation : il remonte la chaîne jusqu'à une racine qu'il a reçue avec le système, pas avec la connexion.

Ce que voit le visiteur

Le navigateur ne discute pas.

Un certificat expiré, un nom qui ne correspond pas, une chaîne incomplète : la page ne s'ouvre pas. À la place, un écran rouge — et votre site derrière, que personne n'atteindra.

Lire le résultat

Le contrôle porte sur quatre choses à la fois : la date de fin, l'émetteur, les noms couverts et l'état de la chaîne. Un certificat peut être à jour et rester invalide pour le visiteur.

Rien à signaler — plus de 30 jours
Le certificat est valide, la chaîne est complète et il couvre le nom demandé.
À surveiller — 30 jours ou moins
Si le renouvellement est automatique, le certificat devrait se recharger seul autour de cette date. C'est justement le moment de vérifier qu'il le fait.
Problème — 7 jours ou moins
Passé la date, chaque visiteur voit un avertissement plein écran et les appels d'API vers le site cessent de fonctionner.
Problème — certificat expiré
L'avertissement est déjà affiché. Sur mobile, la plupart des visiteurs font demi-tour sans chercher à le contourner.
Problème — certificat auto-signé
Aucune autorité reconnue ne l'a signé : il se signe lui-même, et aucun navigateur ne lui fait confiance. Un certificat gratuit règle le cas.
Problème — le nom n'est pas couvert
Le nom demandé ne figure pas parmi ceux que porte le certificat. Le navigateur avertit, même si le certificat est valide par ailleurs.
À surveiller — chaîne incomplète
Le serveur ne présente pas l'intermédiaire qui relie le certificat à son autorité. Les navigateurs savent souvent le retrouver seuls ; des clients de messagerie et des applications mobiles, non.
À surveiller — seul www répond
Rien n'a répondu sur le domaine seul. Un visiteur qui tape l'adresse sans « www » n'arrive nulle part.
Indéterminé — rien ne répond en HTTPS
Aucun serveur n'a répondu sur le port 443, ni sur le domaine ni sur sa forme « www ». Soit le site est ailleurs, soit il n'est pas en HTTPS.
Indéterminé — date illisible
Le certificat a été reçu, mais sa date de fin n'est pas exploitable. Le cas est rare et vient d'un certificat fabriqué à la main.

Les erreurs qu'on voit le plus souvent

  1. Le renouvellement automatique a échoué en silence

    Ce qui la provoque : Let's Encrypt vérifie que vous contrôlez le domaine avant de réémettre. Une redirection, une règle de pare-feu, un chemin « /.well-known/acme-challenge/ » qui ne passe plus, et la vérification échoue sans rien afficher.

    Le geste qui corrige : lire le journal du client ACME, et lancer un renouvellement à blanc pour voir l'erreur avant l'échéance.

  2. Le certificat couvre le domaine mais pas « www »

    Ce qui la provoque : il a été demandé pour un seul nom. Le visiteur qui tape l'autre forme reçoit l'avertissement plein écran.

    Le geste qui corrige : redemander un certificat portant les deux noms. Une redirection ne suffit pas : la connexion chiffrée s'établit avant qu'elle ne soit lue.

  3. La chaîne intermédiaire n'est pas servie

    Ce qui la provoque : le serveur envoie le certificat final seul. Chrome et Firefox savent souvent chercher l'intermédiaire manquant, ce qui donne l'illusion que tout va bien.

    Le geste qui corrige : servir le fichier qui contient la chaîne complète, et non le certificat seul.

  4. Le certificat est renouvelé, le service n'est pas rechargé

    Ce qui la provoque : le nouveau fichier est sur le disque ; le processus qui sert le HTTPS garde l'ancien en mémoire. Les équilibreurs de charge ne relisent pas le fichier tout seuls.

    Le geste qui corrige : brancher le rechargement du service sur le crochet de déploiement du client ACME (« --deploy-hook » avec certbot).

  5. L'horloge de la machine est fausse

    Ce qui la provoque : un certificat se juge sur des dates. Une horloge qui dérive fait refuser un certificat valide, ou accepter un certificat périmé.

    Le geste qui corrige : vérifier la synchronisation de l'heure. Le navigateur affiche le même « ERR_CERT_DATE_INVALID » que pour un vrai certificat expiré.

Les erreurs de certificat affichées par le navigateur

Quand un visiteur voit l'écran rouge, un code est écrit en bas. Il dit ce qui cloche, et il ne dit pas toujours « expiré ».

CodeCe qu'il signifieCe qui le provoque
ERR_CERT_DATE_INVALIDLe certificat n'est pas encore valide, ou il a expiré, au regard de l'horloge du navigateur.Renouvellement manqué — ou horloge fausse chez le visiteur.
ERR_CERT_AUTHORITY_INVALIDLe certificat est signé par une autorité à laquelle le navigateur ne fait pas confiance.Certificat auto-signé, autorité interne, ou chaîne intermédiaire absente.
ERR_CERT_COMMON_NAME_INVALIDLe nom porté par le certificat ne correspond pas au nom demandé.Certificat émis pour le domaine seul et visite sur « www », ou l'inverse.
ERR_CERT_REVOKEDLe certificat a été révoqué par l'autorité qui l'a émis.Clé privée compromise, ou révocation demandée après une fuite.
ERR_CERT_WEAK_SIGNATURE_ALGORITHMLe certificat est signé avec un algorithme jugé trop faible.Certificat ancien, ou autorité interne jamais mise à jour.
ERR_CERT_WEAK_KEYLa clé du certificat est trop courte pour être acceptée.Clé RSA générée il y a longtemps et reconduite de renouvellement en renouvellement.
ERR_CERT_NAME_CONSTRAINT_VIOLATIONLe certificat revendique des noms que son autorité n'a pas le droit de couvrir.Autorité intermédiaire limitée à un domaine précis par son émetteur.
ERR_CERT_VALIDITY_TOO_LONGLa durée de validité dépasse ce que le navigateur accepte.Certificat émis pour plusieurs années, en général par une autorité interne.
ERR_CERT_UNABLE_TO_CHECK_REVOCATIONLe navigateur n'a pas pu savoir si le certificat a été révoqué.Service de vérification de l'autorité injoignable au moment de la visite.
ERR_CERTIFICATE_TRANSPARENCY_REQUIREDLe certificat n'apporte pas la preuve de publication exigée pour cette connexion.Certificat émis hors des circuits publics, ou par une autorité qui ne journalise pas.

Codes issus de la liste d'erreurs de Chromium : identiques dans Chrome, Edge, Brave et Opera, précédés de « NET:: » dans la page d'avertissement. Firefox nomme les mêmes cas autrement (« SEC_ERROR_UNKNOWN_ISSUER », « SEC_ERROR_EXPIRED_CERTIFICATE »).

Questions fréquentes

Comment vérifier si un certificat SSL est valide ?

Entrez le nom de domaine ci-dessus. L'outil ouvre une connexion chiffrée vers le site, lit le certificat présenté, et rend sa date de fin, son émetteur, les noms couverts et l'état de sa chaîne. Il contrôle le domaine seul, puis sa forme « www » si rien ne répond.

Combien de temps dure un certificat SSL ?

Cela dépend de l'émetteur. Let's Encrypt délivre des certificats de quatre-vingt-dix jours et recommande de renouveler au soixantième. Les autorités payantes émettent pour plus longtemps, mais la durée maximale admise se raccourcit d'année en année. L'outil affiche la date de fin du certificat réellement en place.

Que voit un visiteur quand le certificat a expiré ?

Pas une petite icône : un écran d'avertissement plein cadre qu'il faut délibérément contourner. Les formulaires, les paiements et les appels d'API qui pointaient vers l'adresse cessent de fonctionner au même moment, sans message d'erreur explicite côté serveur.

Faut-il un certificat pour le domaine et pour « www » ?

Les deux noms doivent être couverts, par un même certificat ou par deux. La connexion chiffrée s'établit avant la moindre redirection : rediriger « www » vers le domaine ne dispense donc pas « www » d'un certificat valide.

Un certificat gratuit vaut-il un certificat payant ?

Pour le chiffrement, oui : un certificat Let's Encrypt et un certificat payant à validation de domaine protègent la connexion de la même façon, et le navigateur ne les distingue pas. Le payant ajoute une durée plus longue, une assistance, et pour la validation étendue une vérification d'identité que les navigateurs n'affichent plus depuis 2019.

Mon certificat est valide, mais le navigateur affiche une erreur. Pourquoi ?

Trois causes couvrent presque tous les cas : le certificat ne couvre pas le nom tapé, la chaîne intermédiaire n'est pas servie, ou le service n'a pas été rechargé et présente encore l'ancien fichier. Le code affiché par le navigateur départage les trois.

Le calendrier d'un certificat

Quatre-vingt-dix jours, et une fenêtre de trente.

Un certificat ne dure pas un an. Le renouvellement est prévu bien avant l'échéance, et c'est dans cet écart qu'on voit qu'il a cessé de fonctionner.

90j

La validité chez Let's Encrypt

C'est la durée des certificats gratuits les plus répandus. Les autorités payantes émettent pour plus longtemps, mais la tendance générale est au raccourcissement.

60e j

Le renouvellement recommandé

Let's Encrypt recommande de renouveler au soixantième jour, soit trente jours avant l'échéance. Cette marge existe pour absorber les échecs — encore faut-il regarder qu'elle a servi.

7j

Le palier rouge de ce contrôle

À trente jours, ce contrôle passe à l'orange ; à sept, au rouge. Si le renouvellement automatique fonctionne, vous ne devriez jamais voir l'orange.

Les durées de Let's Encrypt sont celles que publie l'autorité et que reprend la foire aux questions de cette page. Les paliers à trente et sept jours sont ceux de ce contrôle.

Quand le cadenas saute

Ce qu'on regarde, dans l'ordre

Le message du navigateur nomme déjà la cause. Il suffit de le lire avant de toucher à la configuration — et de vérifier les deux noms, pas un seul.

  1. Lire le code, pas le message

    « ERR_CERT_DATE_INVALID » et « ERR_CERT_AUTHORITY_INVALID » n'ont rien à voir : l'un est un renouvellement manqué, l'autre une chaîne incomplète ou une autorité inconnue. Le code est en bas de l'écran d'avertissement.

  2. Essayer les deux noms

    Le domaine et « www » sont deux adresses différentes. Un certificat émis pour l'une ne couvre pas l'autre : c'est la cause exacte de « ERR_CERT_COMMON_NAME_INVALID ».

  3. Vérifier la chaîne, pas le certificat

    Un certificat valide servi sans son intermédiaire s'affiche chez vous et échoue chez d'autres. Le navigateur de bureau complète parfois la chaîne tout seul ; un téléphone ou un client de messagerie, non.

  4. Lancer un renouvellement à blanc

    Si le renouvellement est automatique, la seule façon de savoir qu'il marche encore est de le lancer avant l'échéance et de lire le journal. Un échec silencieux ne se voit que là.

Vingt contrôles, sans inscription