Vérifier un certificat SSL
Saisissez une machine. Nous ouvrons une vraie connexion, lisons le certificat qu’elle sert et disons ce qu’il vaut — y compris sur les ports qu’un navigateur ne vous montre jamais.
Deux « ça ne marche pas » différents
Un certificat qui ne couvre pas le nom demandé et un certificat dont la chaîne ne peut pas être validée se ressemblent dans un navigateur et se réparent à des endroits différents : le premier doit être redemandé avec ce nom dedans ; le second est d’ordinaire le certificat intermédiaire absent du serveur — et cela se voit sur les machines des autres et pas sur la vôtre, parce que la vôtre l’a déjà.
Ce que cela ne vous dit pas
Un regard depuis une seule machine. Un certificat qui se renouvelle tout seul peut cesser de se renouveler sans le dire, et vous l’apprenez le jour de l’expiration — qui tombe un dimanche assez souvent pour ne pas vouloir l’apprendre ainsi.
Si vous êtes ici, voici ce qui vient généralement ensuite
Être prévenu avant l’expiration
Ceci est un regard ponctuel. Le surveiller et vous prévenir 30, 14, 7, 3 et 1 jours avant, c’est ce que fait la surveillance — et elle surveille le renouvellement, qui est ce qui casse vraiment.
Questions fréquentes
- Mon certificat se renouvelle tout seul. Pourquoi le vérifier ?
- Parce qu’un renouvellement qui cesse de fonctionner ne l’annonce pas. La commande est toujours dans la minuterie, le dernier renouvellement est toujours sur le disque, et le seul signal est le site en rouge le jour de l’expiration. Regarder coûte deux secondes ; être prévenu, rien du tout.
- Dans mon navigateur ça passe et ici on dit que ce n’est pas validable. Qui a raison ?
- Les deux, et c’est tout le sujet. Votre navigateur a déjà gardé le certificat intermédiaire d’un autre site visité, il comble donc le trou tout seul. Une machine qui ne l’a jamais vu — un téléphone, une application, un autre serveur — ne le peut pas, et pour elle le site est cassé.
- Pourquoi puis-je demander un autre port que 443 ?
- Parce que le certificat qui casse votre courrier est celui du 993 ou du 465, et aucun navigateur ne vous le montrera jamais. Même machine, autre service, et très souvent un certificat que personne n’a pensé à renouveler.