Initier la prise de contact TLS directement depuis le serveur, lire le certificat, négocier le protocole et la validité restante.
Vérifiez les certificats SSL/TLS en ligne. Entrez un domaine pour voir la validité du certificat, la correspondance de domaine, les jours restants, la version TLS, les suites de chiffrement et la liste SAN. Le handshake est initié depuis le backend sans problèmes CORS.
L'expiration des certificats, la non-correspondance de domaines et les erreurs de configuration sont les types de pannes les plus courants pour les sites web HTTPS. Après expiration, les navigateurs affichent un avertissement 'Non sécurisé' entraînant une perte de visiteurs, et le classement de recherche Google est également affecté. La vérification régulière et le renouvellement anticipé sont des tâches DevOps de base pour garantir le fonctionnement normal de HTTPS.
SSL Labs effectue une notation approfondie (incluant des tests complets de protocoles, suites, vulnérabilités, prenant environ 2 minutes), tandis que cet outil effectue des vérifications de base rapides (retourne les résultats en 1-3 secondes), couvrant les informations centrales comme la validité du certificat, l'expiration, la version TLS, les suites de chiffrement et la liste SAN, adapté à la validation rapide avant mise en ligne, la confirmation de renouvellement et le dépannage.
Causes possibles : 1) Le site web bloque les IP étrangères (les serveurs de vérification sont à l'étranger) ; 2) Le serveur fait une différenciation SNI mais la configuration est incomplète ; 3) Utilise un certificat auto-signé d'intranet d'entreprise ; 4) Le pare-feu bloque les nœuds de vérification. L'échec de vérification ne signifie pas que le certificat a des problèmes ; il faut juger en fonction des messages d'erreur spécifiques.
TLS 1.3 (2018, RFC 8446) est la dernière version, avec une vitesse de handshake améliorée de 2-RTT de TLS 1.2 à 1-RTT voire 0-RTT, supprimant les algorithmes non sécurisés comme l'échange de clés RSA, RC4 et SHA-1, activant Forward Secrecy par défaut, avec des améliorations significatives tant en sécurité qu'en performances. Pour les nouveaux déploiements, il est recommandé de prioriser le support de TLS 1.3 tout en conservant TLS 1.2 pour la compatibilité avec les anciens clients.
Il est recommandé de commencer la préparation du renouvellement 30 jours avant l'expiration et de terminer le déploiement au moins 7 jours à l'avance. L'outil utilise des alertes couleur : >30 jours vert (normal), 7-30 jours jaune (doit renouveler), <7 jours rouge (urgent). Les certificats Let's Encrypt ont une validité de 90 jours ; il est recommandé de configurer le renouvellement automatique.
Let's EncryptSAN (Subject Alternative Name, Nom Alternatif du Sujet) est une liste de domaines/IP déclarés autorisés à être utilisés dans le certificat. Les navigateurs modernes (Chrome 58+) ne font plus confiance au champ Common Name (CN) et ne vérifient que SAN. Si le domaine accédé n'est pas dans la liste SAN, les navigateurs signaleront une erreur de 'non-correspondance de nom'. Un certificat peut couvrir plusieurs domaines via SAN (par exemple example.com, www.example.com, api.example.com).
Les empreintes de certificat (SHA-1/SHA-256) sont des valeurs de hachage du contenu du certificat, utilisables pour HPKP (obsolète), l'épinglage de certificat (Certificate Pinning) et la vérification manuelle que les certificats déployés correspondent aux attentes — par exemple, confirmer si CDN a correctement chargé de nouveaux certificats ou vérifier si les certificats sont identiques entre plusieurs serveurs. Note : Les empreintes SHA-1 sont uniquement pour l'identification et ne doivent pas être utilisées pour la vérification de sécurité.
La vérification de certificats SSL/TLS est le processus d'initier un handshake TLS depuis le client pour obtenir et analyser les informations de certificat renvoyées par le serveur cible, déterminant ainsi si la configuration HTTPS est correcte. Les éléments de vérification centraux incluent : si le certificat est dans sa période de validité, si le domaine accédé est dans la liste autorisée du certificat (correspondance SAN), si la chaîne de certificats est complète et fiable, si la version du protocole TLS et les suites de chiffrement utilisées sont sécurisées, etc.
**Pourquoi la vérification de certificats est-elle si importante ?** Les certificats SSL sont la base de confiance de HTTPS. Une fois que des problèmes surviennent avec le certificat (le plus courant est l'expiration), les navigateurs bloquent directement l'accès, affichant une page d'avertissement rouge 'Votre connexion n'est pas privée', causant des dommages directs au trafic du site web, aux taux de conversion, au classement SEO et à la confiance de marque. Selon la surveillance, l'expiration de certificats est la cause la plus courante des pannes HTTPS, représentant plus de 40% de tous les incidents HTTPS.
**En quoi est-ce différent d'accéder directement dans un navigateur ?** L'accès par navigateur peut présenter des déviations dues au cache, HSTS, proxys d'entreprise, certificats clients, etc. ; tandis que les outils de vérification de certificats initient des handshakes TLS standard depuis des nœuds indépendants, renvoyant des informations de certificat objectives et standardisées adaptées aux scénarios de vérification DevOps. Cet outil initie des handshakes TLS directement depuis les serveurs backend, **sans restrictions CORS du navigateur**, et peut vérifier n'importe quel domaine HTTPS accessible publiquement.
**Informations centrales vérifiées par cet outil** : État d'autorisation du certificat (valide ou non), messages d'erreur spécifiques authorizationError, version du protocole TLS (TLS 1.2/1.3), suite de chiffrement négociée (Cipher), résultats de négociation du protocole ALPN (h2/http/1.1), émetteur du certificat (Subject/Issuer), dates de début et fin de période de validité (validFrom/validTo), jours restants (avec alertes couleur), liste des Noms Alternatifs du Sujet SAN, empreintes SHA-1/SHA-256, temps de réponse et détails JSON complets.
Les résultats de vérification sont généralement renvoyés en 1-3 secondes, adaptés aux scénarios comme la validation rapide avant mise en ligne, la confirmation de renouvellement et le dépannage. Pour une notation approfondie (comme la note A+-F de SSL Labs incluant renégociation, tests de vulnérabilités, support de protocoles, etc.), il est recommandé d'utiliser conjointement avec SSL Labs Server Test.
| Version du Protocole | Année de Sortie | État Actuel | Notes |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Obsolète/Non sécurisé | Contient des vulnérabilités critiques comme POODLE ; désactivé par tous les navigateurs modernes |
TLS 1.0 | 1999 | ❌ Obsolète | Vulnérabilités BEAST, CRIME ; interdit depuis PCI DSS 2018 |
TLS 1.1 | 2006 | ❌ Obsolète | Officiellement obsolète dans RFC 8996 ; Chrome/Firefox ont supprimé le support en 2020 |
TLS 1.2 | 2008 | ⚠️ Largement Supporté (Transition) | Actuellement le plus déployé avec la meilleure compatibilité, mais présente des risques de certaines suites de chiffrement faibles |
TLS 1.3 | 2018 (RFC 8446) | ✅ Recommandé | Handshake plus rapide (1-RTT/0-RTT), algorithmes faibles supprimés, préféré par les navigateurs modernes |
| Jours Restants | Couleur d'État | Action Recommandée |
|---|---|---|
| >30 jours | 🟢 Vert (Normal) | Aucune action nécessaire ; vérifier périodiquement |
| 7-30 jours | 🟡 Jaune (Avertissement) | Démarrer le processus de renouvellement dès que possible pour garantir le remplacement avant expiration |
| <7 jours | 🔴 Rouge (Urgent) | Renouveler immédiatement ; les navigateurs bloqueront l'accès après expiration |
| 0 jours/Expiré | 🔴 Rouge (Expiré) | Le certificat n'est plus valide ; les utilisateurs verront des avertissements de sécurité et doit être traité immédiatement |
| Type d'Erreur | Causes Courantes | Direction de Solution |
|---|---|---|
| Certificat expiré (expired) | Le certificat n'a pas été renouvelé après la date validTo | Renouveler et déployer un nouveau certificat rapidement |
| Non-correspondance de nom (name mismatch) | Le domaine d'accès actuel n'est pas dans la liste SAN du certificat | Réémettre le certificat incluant le domaine cible, ou vérifier la configuration d'origine CDN |
| Chaîne incomplète (incomplete chain) | Le serveur n'a pas correctement configuré les certificats intermédiaires | Déployer le certificat intermédiaire combiné avec le certificat feuille |
| Certificat auto-signé (self-signed) | Le certificat a été émis par une CA privée, non fiable publiquement | Utiliser une CA fiable publiquement comme Let's Encrypt pour émettre le certificat |
| Émetteur non fiable (untrusted issuer) | Le certificat racine de la CA n'est pas dans le magasin de confiance du navigateur | Remplacer par un certificat émis par une CA fiable |
