Vérificateur SSL
Inspecte la chaîne de certificats, expiration et algorithme.
- Certificate is valid for this host and not expired.
- example.com
- *.example.com
What does each field mean?
Field reference
Subject (à qui)
Le champ Subject identifie le titulaire du certificat. Les certificats modernes s'appuient sur le CN (Common Name) plus les Subject Alternative Names. Organization (O), Organizational Unit (OU) et Locality (L) sont présents pour les certificats EV/OV et absents des DV (gratuits) comme Let's Encrypt.
Issuer (émetteur)
Identifie le CA qui s'est porté garant du sujet. Les navigateurs embarquent une liste de CA racines de confiance ; un certificat signé par un émetteur non reconnu (ou auto-signé) déclenche NET::ERR_CERT_AUTHORITY_INVALID. CA publics courants : Let's Encrypt, DigiCert, Sectigo, GlobalSign, GoDaddy.
Subject Alt Names (SAN)
Un seul certificat peut couvrir plusieurs hôtes via l'extension SAN — typique pour les wildcards (<code>*.example.com</code>) ou les certificats multi-domaines. Depuis 2017 les navigateurs ignorent le Common Name et ne comparent qu'aux entrées SAN. Si votre hôte n'y figure pas, le certificat est invalide pour lui.
Profondeur de chaîne
Une chaîne de confiance part du certificat feuille du serveur, passe par un ou plusieurs CA intermédiaires et se termine à un CA racine du trust store du navigateur. Une profondeur de 2 (feuille + 1 intermédiaire) est typique. Les serveurs mal configurés omettent souvent les intermédiaires — le client voit alors une "incomplete chain".
Algorithme de signature
Décrit comment le CA a signé le certificat. <code>sha256WithRSAEncryption</code> (RSA + SHA-256) est le défaut sûr. <code>ecdsa-with-SHA256</code> utilise les courbes elliptiques — clés plus courtes, même robustesse. <code>sha1WithRSAEncryption</code> est cassé depuis 2017 et rejeté par tous les grands navigateurs.
Clé publique
Moitié publique de la paire de clés. RSA 2048 bits est le minimum pratique aujourd'hui ; 3072+ pour les clés à longue durée de vie. EC P-256 est plus courte (~256 bits de force équivalente) et plus rapide. Tout ce qui est inférieur à RSA 2048 ou plus ancien que P-256 doit être remplacé.
Cipher négocié
Décrit le chiffrement réellement appliqué aux données : échange de clés (ECDHE), chiffrement (AES_256_GCM, CHACHA20_POLY1305), MAC (SHA384). Les suites à secret de transmission persistant (ECDHE-*) sont exigées par la plupart des standards de sécurité. Les suites CBC ou RC4 sont obsolètes.
Correspondance du nom d'hôte
Même un certificat parfaitement valide est rejeté si l'hôte demandé n'apparaît pas dans la liste SAN. Les wildcards correspondent à exactement un label DNS : <code>*.example.com</code> couvre <code>www.example.com</code> mais PAS <code>a.b.example.com</code> ni <code>example.com</code> nu.
Auto-signé
Un certificat auto-signé a le même Subject et Issuer. Les navigateurs ne lui font pas confiance par défaut — vous verriez "NET::ERR_CERT_AUTHORITY_INVALID". Acceptable pour des environnements internes ou de staging où vous contrôlez serveur et client. En production, utilisez Let's Encrypt (gratuit) ou un CA public.
Valide jusqu'au (expiration)
Les navigateurs rejettent sans détour les certificats expirés. Les certificats de CA publics durent typiquement 90 à 397 jours. Mettez en place le renouvellement automatique : ACME / Let's Encrypt à 60 jours restants, CA commerciaux à 30 jours. Surveillez la transition progressive vers des durées de vie obligatoires de 90 jours d'ici 2027.
Entièrement valide
Tous les contrôles de base sont passés : la chaîne de confiance s'ancre à une racine reconnue par le navigateur, l'hôte correspond au SAN, le certificat est dans sa fenêtre de validité et l'algorithme de signature est acceptable. C'est l'état "cadenas vert" affiché par les navigateurs.
À propos de cet outil
SSL Checker ouvre une véritable connexion TLS à votre hôte, capture la chaîne de certificats que le serveur présente, et rapporte tout ce qui compte : sujet, émetteur, dates de validité, la chaîne intermédiaire complète jusqu'à l'ancre de confiance, l'algorithme de signature, la taille de la clé publique, les versions TLS et les suites de chiffrement prises en charge, les Subject Alternative Names, et le statut d'agrafage OCSP. La vérification se produit côté serveur depuis notre hôte de Francfort afin que vous voyiez exactement ce qu'un visiteur distant voit — pas ce que votre navigateur a mis en cache.
Un certificat propre n'est pas seulement "le cadenas vert". Nous validons la correspondance du nom d'hôte par rapport aux SAN (le champ CN hérité n'est qu'informatif, selon la RFC 6125), vérifions que chaque maillon de la chaîne est signé par le suivant, vérifions que les intermédiaires sont présentés dans le bon ordre (une erreur de déploiement courante), confirmons que la feuille n'a pas expiré et n'est pas encore valide, et avertissons si la feuille utilise une signature faible (SHA-1) ou une clé sous-dimensionnée (RSA < 2048 bits). Tout cela en une seule poignée de main HTTPS.
Quand utiliser cet outil
- Vérification pré-déploiement. Après avoir provisionné Let's Encrypt ou acheté un certificat commercial, confirmez que la chaîne est complète avant d'y diriger de vrais utilisateurs.
- Surveillance d'expiration. Repérez les certificats qui expireront dans les 7/14/30 prochains jours et renouvelez avant que les alarmes ne sonnent.
- Débogage de contenu mixte. Trouvez les sous-domaines qui présentent un certificat différent (ou auto-signé) du site principal.
- Vérifications de bon sens de migration. Après être passé à un nouveau CDN ou répartiteur de charge, vérifiez que le nouveau certificat et la chaîne sont ce que vous attendez.
Ce que signifie réellement "chaîne incomplète"
Les navigateurs et les magasins de confiance OS livrent quelques centaines d'AC racines. Votre certificat feuille est signé par un intermédiaire, qui est signé par un autre intermédiaire ou directement par une racine. Le serveur web doit envoyer la feuille + chaque intermédiaire jusqu'à (mais sans inclure) la racine — Firefox et Chrome essaieront de récupérer les intermédiaires manquants à partir de l'extensionAIA, mais iOS, l'ancien Android et la plupart des clients TLS non-navigateurs rejetteront la poignée de main. Notre inspecteur de chaîne vous dit exactement quel maillon manque, afin que vous puissiez coller le bon intermédiaire dans votre configuration serveur.
Questions fréquentes
Mon navigateur affiche le cadenas mais votre outil dit "chaîne incomplète" — qui a raison ?
AIA ou depuis leurs propres caches — l'utilisateur voit un cadenas fonctionnel. Mais Safari iOS, de nombreuses applications Android, curl, les clients OpenSSL et les bibliothèques TLS non-navigateurs ne le font pas. Si notre outil dit "incomplète", votre site échouera sur une fraction non négligeable de clients ; corrigez-le en servant la chaîne complète depuis le serveur.