Vérifier un certificat SSL

Pourquoi le SSL est important

Un certificat SSL (Secure Sockets Layer) est aujourd'hui indispensable pour tout site web. Le SSL établit une connexion chiffrée entre le navigateur d'un visiteur et votre serveur web, afin que les informations sensibles comme les mots de passe, les données de carte bancaire et les données personnelles restent protégées pendant leur transport sur Internet.

Google utilise le SSL comme facteur de classement depuis 2014 : les sites web sans certificat SSL sont donc moins bien classés dans les résultats de recherche. Les navigateurs modernes comme Chrome et Firefox signalent les sites web sans SSL par un avertissement bien visible « Non sécurisé », ce qui fait fuir les visiteurs et nuit à votre taux de conversion. Les études montrent que 84 % des utilisateurs abandonnent un achat lorsqu'ils remarquent qu'un site web n'est pas sécurisé.

Pour les boutiques en ligne et les sites web qui traitent des paiements, le SSL n'est pas seulement obligatoire pour la conformité PCI DSS : il est aussi essentiel pour la confiance des clients. De plus, le SSL rend votre site web plus rapide si vous utilisez HTTP/2, qui ne fonctionne que sur des connexions HTTPS sécurisées.

Que contrôle cet outil de vérification SSL ?

Notre outil gratuit de vérification SSL récupère le certificat SSL que présente un site web ou un serveur de messagerie et contrôle les informations les plus importantes :

• Validité du certificat : vérifie que le certificat SSL est toujours valide et n'a pas expiré
• Vérification du nom de domaine : vérifie que le certificat a été émis pour le bon nom de domaine (Common Name et Subject Alternative Names)
• Chaîne de certificats : indique combien de certificats le serveur envoie dans la chaîne de certificats
• Autorité de certification (CA) : identifie l'autorité de certification qui a émis le certificat
• Date d'expiration : indique quand le certificat expire et s'il doit être renouvelé
• Type de certificat : reconnaît les émetteurs connus comme Let's Encrypt, Sectigo, DigiCert et GlobalSign
• Subject Alternative Names : affiche tous les noms de domaine pour lesquels le certificat est valide
• Serveurs de messagerie : contrôle aussi le certificat des serveurs IMAP et SMTP, en TLS direct ou via STARTTLS
• Avertissements de certificat auto-signé : indique s'il s'agit d'un certificat auto-signé

Les types de certificats SSL

Il existe plusieurs types de certificats SSL, chacun avec un niveau de validation différent :

Les certificats Domain Validation (DV) sont le type le plus utilisé. La CA vérifie uniquement que vous êtes propriétaire du domaine, généralement par une vérification par e-mail ou un enregistrement DNS. Cette procédure prend quelques minutes et est entièrement automatisée.

Pour les certificats Organization Validation (OV), la CA vérifie les données de votre entreprise auprès de registres officiels comme le registre du commerce. Cette procédure prend de 1 à 3 jours ouvrés.

Les certificats Extended Validation (EV) offrent le niveau de validation le plus élevé, avec un examen approfondi de votre organisation. L'EV reste utile pour les organisations qui veulent inspirer un maximum de confiance.

Renouveler un certificat SSL

Les certificats SSL ont une validité limitée, généralement de 90 jours (Let's Encrypt) ou de 1 à 2 ans (certificats commerciaux). Il est essentiel de renouveler votre certificat à temps. Lorsqu'un certificat SSL expire, les visiteurs voient un avertissement de sécurité qui fera fuir la plupart d'entre eux.

Utilisez notre outil de vérification SSL pour contrôler régulièrement la date d'expiration de votre certificat. Avec Let's Encrypt, le renouvellement se fait de façon entièrement automatique grâce au logiciel certbot. Le protocole ACME renouvelle votre certificat tous les 60 jours, sans intervention.

Les certificats commerciaux doivent généralement être renouvelés manuellement : générer une CSR, payer et installer le nouveau certificat.

SSL et SEO

En 2014, Google a annoncé que le HTTPS est un facteur de classement. Les sites web avec SSL bénéficient d'un avantage SEO par rapport aux sites HTTP non sécurisés. Le SSL est en outre indispensable pour HTTP/2 et HTTP/3, qui offrent des temps de chargement nettement plus courts.

Les sites web sans SSL ont un taux de rebond plus élevé à cause de l'avertissement « Non sécurisé ». Veillez à ce que chaque page dispose d'une redirection 301 de HTTP vers HTTPS, mettez à jour votre sitemap.xml avec des URL en HTTPS et configurez des balises canonical en HTTPS. Utilisez notre outil Analyse SEO pour vérifier que votre site web est correctement configuré.

Comment fonctionne le SSL/TLS ?

Le SSL (Secure Sockets Layer) est le prédécesseur du TLS (Transport Layer Security). Les sites web modernes utilisent TLS 1.2 ou TLS 1.3, car les versions plus anciennes ne sont plus sûres.

Lorsqu'un visiteur ouvre votre site web en HTTPS, une négociation TLS (TLS handshake) a lieu :

1. Client Hello : le navigateur envoie au serveur les versions TLS et les suites de chiffrement (cipher suites) qu'il prend en charge, ainsi qu'un nombre aléatoire
2. Server Hello : le serveur choisit la meilleure version TLS et la meilleure suite de chiffrement, puis renvoie son certificat SSL
3. Vérification du certificat : le navigateur contrôle la validité, la date d'expiration et si la CA est digne de confiance
4. Échange de clés : le navigateur et le serveur échangent des clés cryptographiques par RSA ou Diffie-Hellman
5. Connexion sécurisée : toute la suite de la communication est chiffrée de façon symétrique (généralement en AES-256)

La chaîne de confiance des certificats est essentielle : votre certificat est émis par une CA dont le certificat racine est reconnu par défaut comme digne de confiance par tous les navigateurs. Notre outil de vérification SSL indique combien de certificats le serveur envoie dans la chaîne, de sorte qu'un certificat intermédiaire manquant saute aux yeux. Pour des informations techniques, vous pouvez aussi utiliser notre outil Vérification des en-têtes HTTP.

TLS 1.3 a optimisé la négociation : elle nécessite un aller-retour de moins qu'avec TLS 1.2, et seuls des algorithmes cryptographiques robustes sont encore pris en charge.

Installer un certificat SSL

L'installation d'un certificat SSL varie selon la plateforme :

Hébergement cPanel
Avec un hébergement cPanel, l'installation du SSL est simple : ouvrez « SSL/TLS Status » ou « Let's Encrypt SSL », sélectionnez votre domaine et cliquez sur « Install ». Let's Encrypt fonctionne de façon entièrement automatique.

Serveur web Apache
Envoyez les fichiers du certificat dans /etc/ssl/certs/ et configurez le VirtualHost :

<VirtualHost *:443>
    ServerName www.example.com
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/example.com.crt
    SSLCertificateKeyFile /etc/ssl/private/example.com.key
    SSLCertificateChainFile /etc/ssl/certs/intermediate.crt
</VirtualHost>

Serveur web Nginx
Regroupez le certificat et le certificat intermédiaire dans un seul fichier et configurez le bloc server :

server {
    listen 443 ssl http2;
    server_name www.example.com;
    ssl_certificate /etc/ssl/certs/example.com-fullchain.crt;
    ssl_certificate_key /etc/ssl/private/example.com.key;
    ssl_protocols TLSv1.2 TLSv1.3;
}

Après l'installation, vérifiez avec notre outil de vérification SSL que tout fonctionne correctement.

Erreurs SSL fréquentes

Même avec un certificat SSL valide, des erreurs de configuration peuvent provoquer des avertissements :

ERR_CERT_DATE_INVALID : le certificat a expiré. Solution : renouvelez-le immédiatement et contrôlez la date d'expiration avec notre outil de vérification SSL.

ERR_CERT_COMMON_NAME_INVALID : le domaine ne correspond pas aux noms de domaine du certificat. Solution : utilisez un certificat avec un SAN qui couvre les deux variantes (avec et sans www).

NET::ERR_CERT_AUTHORITY_INVALID : la chaîne de certificats est incomplète ou la CA n'est pas reconnue comme digne de confiance. Solution : installez la chaîne complète avec les certificats intermédiaires.

Avertissements de contenu mixte (mixed content) : une page HTTPS charge des ressources en HTTP. Solution : passez tous les liens en HTTPS ou utilisez un en-tête CSP avec upgrade-insecure-requests.

Chaîne de certificats SSL incomplète : des certificats intermédiaires manquent. Solution : installez le fichier ca-bundle.crt avec le certificat de votre domaine.

Certificat SSL gratuit avec Let's Encrypt

Let's Encrypt a transformé le monde du SSL en proposant des certificats SSL gratuits et automatisés. Les certificats Let's Encrypt sont des certificats Domain Validation (DV) valables 90 jours. Cette courte durée de validité encourage le renouvellement automatique.

Comment fonctionne Let's Encrypt ?
Le protocole ACME (Automatic Certificate Management Environment) émet des certificats sans intervention humaine, au moyen de défis (challenges) :

• Défi HTTP-01 : certbot place un fichier dans /.well-known/acme-challenge/
• Défi DNS-01 : certbot ajoute un enregistrement TXT dans le DNS, ce qui est nécessaire pour les certificats wildcard

Une tâche cron renouvelle le certificat tous les 60 jours. Dans l'hébergement web de Theory7, Let's Encrypt est intégré par défaut via AutoSSL.

Certificats wildcard

Un certificat wildcard sécurise votre domaine principal et tous les sous-domaines de premier niveau avec un seul certificat. Par exemple, *.example.com sécurise www.example.com, shop.example.com, blog.example.com, etc.

Les certificats wildcard sont idéaux pour :

• Les applications SaaS multilocataires avec des sous-domaines par client
• Les grands sites web avec de nombreux sous-domaines qui changent souvent
• Les environnements de développement et de préproduction avec plusieurs sous-domaines de test

Let's Encrypt prend en charge les certificats wildcard gratuits via le défi DNS-01. Votre fournisseur DNS doit proposer un accès API pour le renouvellement automatique.

SSL pour les boutiques en ligne et l'e-commerce

Pour les boutiques en ligne, le SSL est obligatoire. Les prestataires de paiement comme Stripe, Mollie et PayPal exigent le HTTPS pour les pages de paiement. La conformité PCI DSS exige que :

• toutes les pages de paiement utilisent TLS 1.2 ou une version supérieure
• les anciens protocoles SSL soient entièrement désactivés
• les suites de chiffrement faibles (DES, RC4, MD5) ne soient pas prises en charge
• les clés fassent au moins 2048 bits RSA ou 256 bits ECC
• le contenu mixte soit entièrement évité

Cet outil de vérification SSL ne teste pas les exigences PCI DSS : il contrôle le certificat lui-même (validité, nom de domaine et émetteur). Pour tester les versions TLS et les suites de chiffrement, un scanner externe comme SSL Labs convient.

Bonnes pratiques SSL pour les boutiques en ligne :

• Imposez le HTTPS sur toutes les pages avec un en-tête HSTS
• Mettez en place une Content-Security-Policy qui bloque le contenu mixte
• Passez tous les scripts de suivi à leur version HTTPS
• Vérifiez l'enregistrement du domaine avec notre outil Recherche WHOIS

Vérifier un certificat SSL : étape par étape

Voici comment utiliser notre outil gratuit de vérification SSL :

1. Saisissez votre domaine : tapez votre nom de domaine dans le champ en haut de cette page
2. Cliquez sur « Vérifier » : l'outil récupère le certificat et le contrôle immédiatement
3. Contrôlez le statut : coche verte = valide, avertissement rouge = problèmes
4. Consultez les détails : émetteur, validité, jours restants, correspondance du domaine et nombre de certificats dans la chaîne
5. Résolvez les problèmes : appliquez les conseils de cet article
6. Testez à nouveau : relancez la vérification SSL après chaque modification

Pour une vue complète, combinez cette vérification SSL avec :

• Vérification des en-têtes HTTP : contrôlez les en-têtes de sécurité comme HSTS et CSP
• Recherche DNS : vérifiez que le DNS pointe correctement vers votre serveur
• Analyse SEO : vérifiez que les pages redirigent correctement vers HTTPS
• Recherche WHOIS : consultez les données d'enregistrement de votre domaine

Effectuez cette vérification SSL au moins une fois par mois pour une sécurité optimale.

Récapitulatif des bonnes pratiques SSL

Pour un site web sécurisé de façon optimale avec le SSL, suivez ces recommandations :

• Utilisez au minimum TLS 1.2 et désactivez SSLv3 ainsi que TLS 1.0/1.1
• Choisissez des suites de chiffrement robustes avec confidentialité persistante (forward secrecy, ECDHE)
• Utilisez des clés d'au moins RSA 2048 bits (ou 4096 bits pour les données très sensibles)
• Installez la chaîne de certificats complète, certificats intermédiaires compris
• Imposez le HTTPS avec des redirections 301 et un en-tête HSTS
• Évitez le contenu mixte en chargeant toutes les ressources en HTTPS
• Renouvelez vos certificats au moins 30 jours avant leur expiration
• Utilisez l'OCSP stapling pour une validation plus rapide des certificats
• Mettez en place des enregistrements DNS CAA pour définir quelles CA peuvent émettre des certificats pour votre domaine
• Testez régulièrement avec notre outil de vérification SSL et des services externes comme SSL Labs

Avec un certificat SSL correctement configuré, vous protégez les données de vos visiteurs, mais vous améliorez aussi votre référencement, renforcez la confiance de vos clients et respectez les standards web actuels. Chez Theory7, toutes nos offres d'hébergement incluent par défaut un certificat SSL gratuit Let's Encrypt avec renouvellement automatique, pour que votre site web soit toujours sécurisé de façon optimale. Combinez cette vérification SSL avec notre outil Recherche DNS pour contrôler que vos enregistrements CAA sont correctement configurés.