Vérificateur de certificat SSL
Vérifiez instantanément le certificat SSL d’un domaine : date d’expiration, autorité émettrice, niveau de confiance et chaîne complète. Gratuit, sans connexion.
Comment lire les résultats de votre certificat SSL
Chaque champ du résultat apporte une information différente sur le certificat. Voici ce que signifie chaque donnée et ce qu’il faut surveiller.
Émetteur (nom de l’AC)
Il s’agit de l’organisation qui a signé et délivré le certificat. Vous devriez y voir une AC connue comme Let's Encrypt, DigiCert, Sectigo ou GlobalSign. Si l’émetteur et le sujet partagent le même CN et le même O, le certificat est autosigné et le navigateur affichera un avertissement.
Noms alternatifs du sujet
C’est la liste des domaines et sous-domaines couverts par le certificat. En production, vérifiez que le domaine racine et www sont tous deux présents. Une entrée wildcard (*.example.com) couvre tous les sous-domaines de premier niveau, mais ni le domaine racine ni les sous-domaines de second niveau.
Date d’expiration et compte à rebours
C’est la date à partir de laquelle le certificat n’est plus valable. La barre passe au vert lorsqu’il reste plus de 30 jours, au jaune entre 8 et 30 jours et au rouge sous 7 jours. Les certificats Let's Encrypt expirent tous les 90 jours ; les certificats commerciaux durent en général 1 an.
Version TLS
Il s’agit de la version TLS négociée par votre serveur pour cette connexion. TLS 1.3 est la norme actuelle : plus rapide et plus sûre. TLS 1.2 reste acceptable. TLS 1.0 et 1.1 sont obsolètes et devraient être désactivés ; SSLv3 et SSLv2 sont gravement vulnérables.
Numéro de série
C’est l’identifiant unique attribué par l’AC à ce certificat précis. Il est utile pour la gestion du parc de certificats, les vérifications d’OCSP stapling et le suivi d’incidents lorsqu’un même domaine a plusieurs certificats.
Empreinte SHA-256
Il s’agit d’un hash cryptographique du contenu complet du certificat. Deux empreintes identiques correspondent au même certificat. Comparez l’empreinte avant et après une rotation pour confirmer que la mise à jour a bien été appliquée ou pour détecter une substitution inattendue.
Plan d’action selon l’expiration du certificat
L’expiration est la cause la plus fréquente d’une panne SSL. Utilisez ce tableau pour savoir quoi faire selon le nombre de jours restants.
| Jours avant expiration | Statut | Action recommandée |
|---|---|---|
| > 30 jours | OK | Aucune action immédiate. Programmez simplement un rappel de renouvellement à 30 jours. |
| 8–30 jours | Alerte | Lancez le renouvellement maintenant. La plupart des AC et des services d’auto-renouvellement (Let's Encrypt, Certbot) déclenchent le renouvellement à 30 jours. |
| 1–7 jours | Urgent | Renouvelez immédiatement. Un certificat expiré provoque des erreurs navigateur et bloque tout le trafic HTTPS. |
| 0 ou moins | Expiré | Le certificat est expiré. Remplacez-le sans attendre : votre site affiche déjà des erreurs de sécurité à tous les visiteurs. |
Erreurs SSL courantes dans Chrome, Firefox et Safari : causes et correctifs
Voici les erreurs SSL les plus fréquentes dans les navigateurs et ce qu’elles signifient. Identifiez la cause racine avec cet outil, puis appliquez le correctif adapté.
La date valid_to du certificat est dépassée. Le certificat a expiré et doit être renouvelé avant que les navigateurs n’acceptent de nouveau la connexion.
Renouvelez le certificat auprès de votre AC ou de votre hébergeur. Vérifiez que l’auto-renouvellement est correctement configuré : la plupart des AC renouvellent automatiquement dans les 30 jours qui précèdent l’expiration.
Le domaine saisi dans la barre d’adresse du navigateur n’apparaît pas dans les champs CN ou SAN du certificat. Cela arrive souvent après une migration de domaine, un mauvais sous-domaine ou l’émission du certificat pour le mauvais domaine.
Réémettez le certificat en incluant le bon domaine. Vérifiez que le domaine racine (example.com) et le sous-domaine www (www.example.com) figurent tous les deux dans la liste SAN.
Le certificat a été émis par une AC absente du magasin de confiance du navigateur ou du système d’exploitation. Cela inclut les certificats autosignés, les certificats d’AC internes et les chaînes où l’intermédiaire manque.
Installez un certificat émis par une AC publique de confiance. Si vous utilisez une AC interne, déployez le certificat racine dans le magasin de confiance du client. Assurez-vous également que le serveur envoie bien toute la chaîne intermédiaire.
Le certificat a été explicitement révoqué par l’AC émettrice, généralement parce que la clé privée a été compromise, que le domaine a changé de propriétaire ou que le certificat a été émis par erreur.
Obtenez immédiatement un nouveau certificat. Si vous n’êtes pas à l’origine de la révocation, votre clé privée a peut-être été compromise : faites tourner la clé, réémettez le certificat et analysez l’exposition.
Le serveur renvoie une réponse HTTP sur un port HTTPS, ou bien un proxy retourne une erreur HTTP avant la fin du handshake TLS. Le port 443 reçoit donc du texte en clair au lieu de TLS.
Vérifiez que le serveur sert bien du TLS sur le port testé. Contrôlez aussi la configuration du load balancer et du proxy pour vous assurer que la terminaison SSL/TLS est correcte.
Le client et le serveur n’arrivent pas à s’accorder sur une version TLS ou une suite cryptographique. Cela se produit souvent lorsque le serveur ne prend encore en charge que TLS 1.0/1.1, désormais obsolètes, ou lorsqu’il propose des suites retirées des navigateurs modernes.
Activez TLS 1.2 et TLS 1.3 sur le serveur, puis désactivez TLS 1.0 et TLS 1.1. Mettez à jour la liste des suites pour supprimer RC4, 3DES et les chiffrements export. Utilisez le générateur TLS de Mozilla pour obtenir des configurations prêtes à l’emploi pour Nginx ou Apache.
Comment vérifier un certificat SSL en 3 étapes
Saisir un domaine
Entrez n’importe quel nom de domaine, comme github.com ou api.example.com, dans le champ de saisie. L’outil supprime automatiquement tout préfixe https://. Vous pouvez aussi indiquer un port personnalisé si le service HTTPS ne tourne pas sur le port 443.
Inspecter le certificat
En quelques secondes, vous obtenez le certificat complet : date d’expiration et compte à rebours, chaîne de certification, niveau de confiance, version du protocole (TLS 1.2 ou 1.3), suite cryptographique, SAN et empreinte SHA-256. Aucune donnée n’est stockée.
Interpréter le résultat
Si le certificat est expiré, autosigné ou en décalage avec le nom d’hôte demandé, le résultat mettra le problème en évidence. La barre d’expiration passe au jaune lorsqu’il reste moins de 30 jours, puis au rouge sous 7 jours. Tous les détails peuvent être copiés en un clic.
Que révèle un certificat SSL ?
Un certificat SSL/TLS est une pièce d’identité numérique qui confirme l’identité d’un site web et permet d’établir une connexion chiffrée. Lorsque vous ouvrez un site en HTTPS, votre navigateur vérifie son certificat, émis par une autorité de certification (CA) de confiance, avant d’établir le canal chiffré. Sans certificat valide, le navigateur affiche des avertissements de sécurité et peut bloquer l’accès, ce qui nuit directement à la confiance des utilisateurs et à la visibilité dans les moteurs de recherche.
Chaque certificat SSL contient 3 informations clés :
- •Sujet : le nom de domaine, et pour OV/EV aussi l’organisation, auquel le certificat a été délivré
- •Émetteur : l’autorité de certification (CA) qui a signé et validé le certificat
- •Période de validité : les dates exactes de début et de fin pendant lesquelles le certificat est approuvé
Ce que cet outil ne vérifie PAS
Cet outil effectue un handshake TLS en direct et lit le certificat. Il ne vérifie pas :
- La robustesse de la suite cryptographique sur une échelle A–F ; utilisez SSL Labs pour un audit TLS complet
- L’en-tête HSTS ni l’état de préchargement
- La configuration d’OCSP stapling
- Le certificate pinning (HPKP)
- Le comportement de redirection de HTTP vers HTTPS
Types de certificats SSL
Chaque type de certificat correspond à un niveau différent de vérification d’identité. Ce qui change, c’est ce que l’autorité émettrice contrôle avant la signature, pas la force du chiffrement.
L’AC vérifie uniquement que le demandeur contrôle le domaine ; elle ne valide pas l’identité de l’entreprise. L’émission prend généralement quelques minutes via un challenge DNS ou HTTP automatisé. C’est adapté aux blogs, aux sites personnels et aux outils internes. Dans le sujet, seul le CN (nom de domaine) apparaît, sans champ O (organisation).
L’AC vérifie le contrôle du domaine ainsi que l’existence légale de l’organisation. Comptez généralement 1 à 3 jours ouvrés. Le certificat affiche le nom de l’entreprise dans le champ O, ce qui permet aux visiteurs de vérifier à qui il appartient. Recommandé pour les sites professionnels et les API.
C’est le niveau de validation le plus poussé : l’AC vérifie le domaine, l’organisation, l’adresse physique, le statut juridique et l’existence opérationnelle. Autrefois, cela faisait apparaître la barre d’adresse verte dans les navigateurs. Aujourd’hui, le nom de l’entreprise reste visible dans les détails du certificat. Ce type est courant dans la finance et sur les plateformes e-commerce qui traitent des paiements.
Il couvre un domaine racine et tous ses sous-domaines de premier niveau grâce à un motif *.example.com dans le CN ou le SAN. Un seul certificat wildcard peut sécuriser www.example.com, api.example.com, cdn.example.com et davantage. Il ne couvre pas les sous-domaines de second niveau comme dev.api.example.com, qui nécessitent un certificat distinct.
Un même certificat peut couvrir plusieurs domaines distincts via l’extension Subject Alternative Names. C’est courant lorsqu’on héberge plusieurs produits sous un seul certificat, par exemple example.com, example.io et app.example.net. Aujourd’hui, la plupart des certificats modernes utilisent des SAN, même pour un seul domaine, avec le CN également repris dans la liste SAN.
Quand vérifier un certificat SSL
Avant la mise en production
Vérifiez que le certificat couvre exactement le domaine que vous allez déployer. Assurez-vous que l’émetteur est une AC de confiance, que la liste SAN contient à la fois le domaine racine et la variante www, et que le protocole est au moins en TLS 1.2 avant de faire pointer le DNS vers la production.
Suivi des renouvellements
Surveillez les dates d’expiration en amont. Les certificats Let's Encrypt expirent tous les 90 jours et un renouvellement automatique raté provoque rapidement une panne. Les certificats commerciaux durent généralement 1 an. Gardez cet outil sous la main et vérifiez chaque mois tout certificat auquel il reste moins de 30 jours.
Audit de sécurité
Repérez les serveurs qui utilisent encore TLS 1.0 ou 1.1, des suites cryptographiques faibles ou des certificats autosignés. Comparez l’empreinte SHA-256 à la valeur attendue après une rotation de certificat pour confirmer qu’aucune substitution MITM n’a eu lieu.
Après une migration de domaine
Après avoir déplacé un domaine vers un nouvel hébergeur ou un CDN, vérifiez que le nouveau certificat couvre bien le domaine, que l’émetteur est le bon et que la liste SAN correspond à ce qui est attendu. Un certificat resté sur l’ancien serveur et non provisionné sur le nouveau provoquera des erreurs navigateur même si le DNS est correct.
Questions fréquentes
Outils associés
Vérificateur de ports
Vérifiez si le port 443 est ouvert et accepte les connexions avant de valider le certificat.
Recherche DNS
Vérifiez que les enregistrements DNS A pointent vers le bon serveur après un déploiement de certificat ou une migration de domaine.
Infos ports
Consultez les ports standards et les services qui y sont généralement associés.