Comment lire le résultat
Nous ouvrons une connexion TLS vers l'hôte, comme un navigateur, et lisons le certificat qu'il présente. Les jours restants sont comptés d'aujourd'hui à la date d'expiration.
La ligne chaîne indique si un navigateur lui ferait confiance. Un certificat valide avec une chaîne cassée échoue quand même sur certains téléphones et sur la plupart des clients d'API : le serveur doit envoyer aussi les certificats intermédiaires, pas seulement le sien.
Les noms couverts (SAN) doivent inclure le nom exact que les gens tapent. Un certificat pour example.com ne couvre pas www.example.com sauf s'il le liste, ou avec un wildcard.
Un certificat expiré est la cause la plus fréquente d'un site qui cesse de marcher pour tout le monde d'un coup, sans aucun déploiement. C'est aussi la panne la plus facile à anticiper : la date est écrite dans le certificat.
Pourquoi les certificats cassent
- Le renouvellement a échoué en silence. Les certificats Let's Encrypt durent 90 jours, et une tâche cron ou un challenge DNS ne marche plus depuis des semaines.
- Le certificat intermédiaire manque après une installation manuelle. Les navigateurs de bureau le masquent, les autres clients non.
- Le certificat ne couvre pas le nom : un nouveau sous-domaine, ou un load balancer qui sert un certificat par défaut.
- Une vieille version de TLS. TLS 1.0 et 1.1 sont refusés par les navigateurs actuels ; visez TLS 1.2 ou 1.3.
Questions
Puis-je vérifier un certificat sur un autre port ?
Oui. Tapez hôte:port, par exemple mail.example.com:993. Sans port, nous utilisons 443.
Quand renouveler ?
Au moins 2 semaines avant l'expiration, pour avoir le temps de corriger un renouvellement raté. Le renouvellement automatique tourne en général 30 jours avant.
Comment être prévenu avant l'expiration ?
Ajoutez un check SSL dans SolidPing. Il lit le certificat toutes les quelques minutes et vous alerte quand les jours restants passent sous votre seuil, ou quand la chaîne casse.