Vérification de certificat SSL

Le certificat TLS d'un site prouve son identité et chiffre le trafic entre le navigateur et le serveur. Un certificat expiré, auto-signé ou ne correspondant pas au nom rompt la confiance et déclenche des avertissements de navigateur qui font fuir les visiteurs. IPeek se connecte directement à l'hôte, lit le certificat en direct et indique son émetteur, sa fenêtre de validité, le nombre de jours restants, les noms qu'il couvre et tout problème qu'il détecte.

Pendant la négociation TLS, le serveur présente un certificat signé par une autorité de certification de confiance. Le navigateur vérifie que le nom du certificat correspond au nom d'hôte, que la chaîne de signature aboutit à une racine de confiance, et que la date actuelle se situe dans la fenêtre de validité. Si ces trois conditions sont remplies, la connexion est chiffrée et le cadenas apparaît. « SSL » est le nom courant que l'on emploie encore, mais le protocole réel est TLS depuis des années. IPeek effectue cette même négociation, puis rapporte ce que le serveur a renvoyé au lieu de se contenter d'afficher un cadenas.

Commencez par les jours restants : toute valeur inférieure à 30 signifie qu'il faut renouveler bientôt, et une valeur négative signifie que le certificat est déjà expiré et que les visiteurs voient des avertissements dès maintenant. Vérifiez l'émetteur pour confirmer qu'il s'agit d'une véritable AC, et non d'un substitut auto-signé. La liste des Subject Alternative Name (SAN) indique chaque nom d'hôte couvert par le certificat : ainsi, un certificat pour example.com qui omet www.example.com échouera sur cette variante. Enfin, confirmez que la chaîne est complète ; un certificat intermédiaire manquant se valide chez certains clients mais se brise chez d'autres.

L'échec le plus fréquent est la simple expiration, corrigée en renouvelant et en rechargeant le serveur web. Une non-correspondance de nom signifie que le nom d'hôte n'est pas dans la liste des SAN : réémettez donc avec les bons noms ou ajoutez un certificat générique (wildcard). Les erreurs « auto-signé » ou « émetteur non approuvé » signifient que la chaîne du certificat n'atteint pas une racine de confiance, généralement parce que le certificat intermédiaire n'a pas été installé aux côtés du certificat feuille. Après chaque correction, vérifiez à nouveau avec IPeek pour confirmer que le certificat servi en direct sur le réseau correspond à vos intentions, car des certificats périmés s'attardent souvent dans les répartiteurs de charge et les CDN.

Effectuez une vérification avant la mise en ligne et à chaque fois que vous migrez d'hébergement, changez de CDN ou renouvelez des certificats, car ce sont les moments où apparaissent les non-correspondances et les chaînes manquantes. Programmez un rappel en amont de la date d'expiration, en particulier pour les certificats sans renouvellement automatique. C'est aussi le moyen le plus rapide de diagnostiquer le cas d'un visiteur signalant un avertissement de sécurité du navigateur : la vérification vous indique immédiatement si le problème est une expiration, une non-correspondance de nom ou une chaîne rompue, afin que vous puissiez agir au lieu de deviner.