Tutoriels pratiques Sécurité

Comment vérifier un certificat SSL

Vérifiez le certificat HTTPS d'un site : sa validité, sa date d'expiration, les noms qu'il couvre, son émetteur et si la chaîne est complète.

Dernière vérification :

AdSense Placeholder
Slot: header_reference_page
Sur cette page

Étapes

  1. Lancer la vérification en direct

    Saisissez le nom d'hôte, par exemple www.example.com, dans le vérificateur de certificat SSL et cliquez sur Vérifier le Certificat. Il établit une vraie connexion TLS sur le port 443 et valide le certificat comme le ferait un client strict.

  2. Lire l'éventuelle erreur de vérification

    Si la validation échoue, l'erreur en donne la raison, par exemple certificate has expired, Hostname mismatch, self-signed certificate ou unable to get local issuer certificate.

  3. Vérifier la date d'expiration

    Lisez Valide Jusqu'au et Jours Avant Expiration. Le nombre de jours passe à l'orange sous 30 jours et affiche Expiré une fois la date dépassée.

  4. Vérifier les noms couverts

    Chaque nom d'hôte utilisé par les visiteurs doit figurer dans les Noms Alternatifs du Sujet. Un joker comme *.example.com couvre www.example.com, mais ni example.com lui-même ni a.b.example.com.

  5. Vérifier qui l'a émis

    L'Émetteur désigne l'autorité de certification. Confirmez que c'est bien celle que vous ou votre hébergeur utilisez réellement ; un émetteur inattendu peut signifier qu'un autre serveur répond, ou que le trafic est intercepté.

  6. Décoder la chaîne complète pour les détails

    Récupérez la chaîne avec openssl s_client -connect example.com:443 -servername example.com -showcerts et collez les blocs PEM dans le décodeur de certificats. Il affiche la clé, les usages, les empreintes et si chaque certificat est Émis par le certificat suivant.

  7. S'assurer que les visiteurs arrivent en HTTPS

    Tracez http://example.com avec le traceur de chaîne de redirections HTTP pour confirmer qu'il redirige vers HTTPS, et lancez l'analyseur d'en-têtes de sécurité pour voir si HSTS demande aux navigateurs d'y rester.

Ce dont vous avez besoin

Le nom d'hôte du site, exactement tel que les visiteurs le saisissent, et éventuellement un terminal avec OpenSSL pour copier la chaîne de certificats. La vérification en direct s'exécute depuis le serveur de ce site ; le décodeur fonctionne entièrement dans votre navigateur.

Lire le résultat

Un résultat sain pour un site peut ressembler à ceci :

Champ Valeur
Sujet commonName=example.com
Émetteur countryName=US, organizationName=Example Trust, commonName=Example Issuing CA
Valide depuis Sep 26 22:49:11 2026 GMT
Valide jusqu'au Dec 25 22:56:35 2026 GMT
Noms alternatifs du sujet example.com, *.example.com

Le certificat est valable 90 jours et 7 minutes, une durée de vie typique pour des certificats renouvelés automatiquement. Vérifié le 10 octobre 2026, il lui reste 76 jours. Le domaine nu et le joker sont tous deux listés : example.com et www.example.com sont donc couverts.

Si la vérification échoue, le message d'erreur indique où chercher :

Texte de l'erreur Signification Correction habituelle
certificate has expired La date de fin de validité est dépassée Renouveler, et chercher pourquoi le renouvellement automatique a échoué
Hostname mismatch, certificate is not valid for '...' Le nom saisi ne figure pas dans la liste SAN Réémettre le certificat en incluant tous les noms d'hôte
self-signed certificate Non émis par une autorité de confiance Le remplacer par un certificat émis par une autorité de certification
self-signed certificate in certificate chain La chaîne se termine par une racine à laquelle les clients ne font pas confiance Utiliser une autorité de certification publiquement reconnue
unable to get local issuer certificate Le serveur n'envoie pas son certificat intermédiaire Installer le fichier de chaîne complet, pas seulement le certificat du site

Dans le décodeur, chaque certificat reçoit un badge tel que Valide encore 76 jours, CA pour les certificats d'autorité, et Émis par le certificat suivant lorsque la chaîne est dans le bon ordre. Non émis par le certificat suivant signifie que le serveur envoie la chaîne dans le mauvais ordre ou avec le mauvais intermédiaire.

Pièges courants

  • Ne vérifier que le domaine nu. example.com et www.example.com peuvent être servis par des serveurs différents avec des certificats différents. Vérifiez chaque nom que les gens utilisent.
  • Se fier uniquement à son navigateur. Les navigateurs réparent souvent un intermédiaire manquant : le site vous paraît donc correct alors que les applications et les clients d'API échouent.
  • Coller une URL avec un chemin. Le vérificateur attend un nom d'hôte. Il supprime https://, mais seul le port 443 est testé.
  • Ignorer la date de renouvellement jusqu'à ce qu'il soit trop tard. Les certificats à courte durée de vie dépendent de l'automatisation. Un nombre de jours qui diminue sans jamais se réinitialiser signifie que le renouvellement est en panne.
  • Traiter le décodeur comme un validateur. Il montre ce que dit un certificat ; il ne vérifie ni les signatures ni la révocation. Pour cela, utilisez la vérification en direct.

Pour aller plus loin

La façon dont le certificat, l'échange de clés et la chaîne de confiance s'articulent lors d'une négociation TLS est expliquée dans Comment fonctionnent HTTPS et TLS.

Essayez ces outils

Vérificateur de Certificat SSL

Vérifiez les détails du certificat SSL/TLS de n'importe quel domaine côté serveur — émetteur, sujet, date d'expiration et liste SAN.

Décodeur de Certificats

Décodez des certificats X.509 et des demandes de signature de certificat (CSR) dans votre navigateur : sujet, émetteur, validité, série.

Traceur de chaîne de redirection HTTP

Suivez la chaîne complète de redirection d'une URL côté serveur et visualisez chaque saut, code de statut et la destination finale.

Analyseur d'En-têtes de Sécurité

Vérifiez les en-têtes HTTP de sécurité d'un site (HSTS, Content-Security-Policy, X-Content-Type-Options, Referrer-Policy.

Voir aussi

  • Guide Comment fonctionnent HTTPS et TLS
    Comment la poignée de main TLS 1.3, l'échange de clés et les certificats rendent une connexion privée, ce que le cadenas ne prouve pas.
  • Glossaire Certificat numérique
    Un certificat numérique est un fichier signé qui lie une clé publique à une identité, comme un nom de domaine.
  • Glossaire TLS
    Le TLS (Transport Layer Security) est le protocole cryptographique qui chiffre et authentifie les connexions, notamment HTTPS.
  • Glossaire HTTPS
    Le HTTPS est du HTTP envoyé via une connexion TLS chiffrée, ce qui garde le trafic privé et confirme l'identité du serveur.
  • Glossaire Cryptographie à clé publique
    La cryptographie à clé publique (asymétrique) utilise une paire de clés liées : une clé publique que tout le monde peut avoir et une clé.

Questions fréquemment posées

Les navigateurs contournent certaines erreurs de serveur, le plus souvent un certificat intermédiaire manquant, en le récupérant ou en le mettant eux-mêmes en cache. De nombreux autres clients, comme les scripts, les serveurs de messagerie et les applications, ne le font pas. Le vérificateur valide strictement : il montre donc des problèmes que rencontreront certains de vos visiteurs.

Il signifie que la connexion est chiffrée et que l'autorité de certification a vérifié que le titulaire contrôle le domaine. Il ne dit rien de l'honnêteté de celui qui exploite le site ; les sites d'hameçonnage ont couramment des certificats valides.

Retour aux tutoriels pratiques
AdSense Placeholder
Slot: footer_leaderboard