Outils certificats

Pourquoi vérifier vos certificats en ligne

Un cadenas vert dans le navigateur ne dit pas grand-chose. Il ne révèle ni une chaîne de confiance incomplète, ni une expiration imminente, ni un nom d'hôte absent des SAN. De même, soumettre un CSR sans le confronter aux Baseline Requirements conduit souvent à un rejet par l'autorité de certification, et publier un enregistrement BIMI avec un VMC invalide empêche l'affichage de votre logo. Ces trois outils lèvent le doute avant que le problème n'atteigne vos utilisateurs.

Cas d'usage courants :

• Vérifier un certificat HTTPS en direct → Contrôlez la validité, l'expiration et la chaîne d'un serveur depuis son domaine
• Diagnostiquer un intermédiaire manquant → Comprenez pourquoi un site marche dans Chrome mais casse sous curl ou en messagerie
• Valider un CSR avant soumission → Obtenez un verdict de conformité et la liste des constats à corriger avant émission
• Préparer un certificat BIMI → Confirmez que le VMC couvre vos domaines et reste valide

Ces vérifications ponctuelles s'inscrivent dans une démarche plus large : inventorier vos certificats, connaître leur propriétaire et savoir qui les renouvelle. Notre guide de gestion du cycle de vie des certificats décrit cet inventaire et les rôles à définir.

Comment vérifier vos certificats

Trois étapes : choisir l'outil, fournir l'entrée, lire le verdict.

Étape 1 : Choisir l'outil

Étape 2 : Fournir l'entrée

Le SSL Certificate Checker part d'un nom de domaine et ouvre lui-même la connexion TLS. Les analyseurs de CSR et de VMC prennent un bloc PEM à coller, ou une URL HTTPS pour le VMC.

Entrées acceptées :

• Serveur HTTPS : un domaine, par exemple captaindns.com (port 443 par défaut)
• CSR : -----BEGIN CERTIFICATE REQUEST-----
• Certificat : -----BEGIN CERTIFICATE-----

Étape 3 : Lire le verdict

Selon l'outil, le résultat affiche :

• Verdict : de confiance, expire bientôt, chaîne incomplète, nom d'hôte non couvert ou auto-signé
• Sujet : CN, O, OU, L, ST, C
• SAN : DNS, IP, URI, y compris les wildcards
• Validité : dates de début et de fin, jours restants
• Chaîne : certificats intermédiaires jusqu'à la racine
• Empreintes : SHA-1, SHA-256

Détails des outils

Chaque outil part d'une entrée différente et rend son propre verdict.

Vérificateur de certificat SSL en direct

Le SSL Certificate Checker ouvre une connexion TLS vers un serveur et inspecte le certificat qu'il présente :

Utilité : Obtenir un verdict que le navigateur ne donne pas, et repérer un problème qui casse curl, les clients de messagerie et les mobiles. Cet outil couvre le web HTTPS ; pour un serveur mail en STARTTLS, utilisez le testeur SMTP/MX.

Depuis le 15 mars 2026, les autorités de certification doivent aussi valider DNSSEC au moment de l'émission : une zone signée mais cassée peut désormais bloquer un renouvellement. Nous détaillons ce point dans validation DNSSEC par les CA et certificats TLS.

Analyseur de demande de certificat (CSR)

L'analyseur décode un Certificate Signing Request. Chaque fait mesuré est ensuite confronté aux Baseline Requirements du CA/Browser Forum et aux RFC applicables :

Utilité : Savoir avant paiement si l'autorité de certification acceptera la demande, corriger les points bloquants et régénérer le CSR une seule fois.

Analyseur de certificat VMC pour BIMI

L'analyseur inspecte un Verified Mark Certificate pour BIMI :

Utilité : Confirmer que le VMC est valide et couvre vos domaines d'envoi avant de publier l'enregistrement BIMI. Un domaine absent des SAN, et le logo ne s'affiche pas. Pour choisir entre un VMC et un CMC, et connaître le coût et les pièces à fournir, lisez notre guide des certificats VMC et CMC.

Réduction de la durée de vie des certificats

Le ballot SC-081v3 du CA/Browser Forum abaisse la durée de vie maximale des certificats TLS publics en trois paliers. Depuis le 15 mars 2026, le plafond est de 200 jours. Il passera à 100 jours le 15 mars 2027, puis à 47 jours le 15 mars 2029, la réutilisation des preuves de validation de domaine tombant alors à 10 jours. Notre guide détaille le calendrier et le plan d'action : certificats TLS de 47 jours, pourquoi et comment s'y préparer.

À ce rythme, le renouvellement manuel n'est plus tenable : il faut un pipeline ACME qui renouvelle, recharge le service et vérifie le résultat, comme décrit dans notre playbook d'automatisation du renouvellement TLS.

Pour être prévenu avant une panne plutôt que d'inspecter à la main, transformez la vérification en surveillance continue avec l'outil Uptime Monitor, qui contrôle l'expiration à intervalle régulier et alerte à l'approche de l'échéance.

FAQ - Questions fréquentes

Q : Comment vérifier un certificat SSL en ligne ?

R : Entrez un nom de domaine dans le SSL Certificate Checker. L'outil ouvre une vraie connexion TLS vers l'hôte (port 443 par défaut), inspecte le certificat serveur et la chaîne présentée, puis renvoie un verdict : de confiance, expiration proche, chaîne incomplète, nom d'hôte non couvert ou auto-signé.

Q : Quelle différence entre certificat serveur, intermédiaire et racine ?

R : Le certificat serveur porte votre nom de domaine. L'intermédiaire fait le lien vers la racine, présente dans le magasin de confiance du système. Le serveur doit présenter le certificat serveur suivi des intermédiaires : c'est ce qu'on appelle la chaîne complète (fullchain).

Q : Qu'est-ce qu'un CSR et pourquoi l'analyser ?

R : Un CSR (Certificate Signing Request) est la demande envoyée à une autorité de certification pour obtenir un certificat. L'analyser avant soumission permet de vérifier que le sujet, les SAN et l'algorithme correspondent à vos attentes, ce qui évite les rejets et les certificats incorrects.

Q : Qu'est-ce qu'un certificat VMC pour BIMI ?

R : Un VMC (Verified Mark Certificate) est un certificat émis par une autorité de certification habilitée (DigiCert, Entrust ou GlobalSign, entre autres) qui lie votre logo à votre identité légale. Il est requis pour afficher votre logo dans les messageries compatibles BIMI comme Gmail, Apple Mail et Yahoo.

Q : Pourquoi mon site fonctionne dans Chrome mais casse ailleurs ?

R : C'est souvent le signe d'un certificat intermédiaire manquant. Chrome et Edge récupèrent l'intermédiaire absent automatiquement, mais curl, les clients de messagerie et beaucoup de mobiles rejettent la connexion. Le SSL Certificate Checker signale la chaîne incomplète ; servez la chaîne complète (fullchain) pour corriger partout.

Q : Combien de temps un certificat SSL reste-t-il valide ?

R : Jusqu'à 200 jours depuis le 15 mars 2026, première phase du ballot SC-081v3 du CA/Browser Forum. Le plafond descend à 100 jours le 15 mars 2027, puis à 47 jours le 15 mars 2029. Ce rythme rend l'automatisation via ACME et la surveillance de l'expiration indispensables.

Q : Les outils supportent-ils les certificats wildcard ?

R : Oui. Les analyseurs affichent les entrées SAN wildcard (*.captaindns.com) et les distinguent des entrées spécifiques. Le SSL Certificate Checker tient compte du fait qu'un wildcard ne couvre ni l'apex ni les sous-sous-domaines lors du contrôle du nom d'hôte.

Q : Puis-je analyser un certificat depuis une URL ?

R : Oui. L'analyseur de certificat VMC accepte une URL HTTPS pointant vers un fichier PEM hébergé : l'outil télécharge le certificat et l'analyse sans le conserver. Le SSL Certificate Checker, lui, part directement d'un nom de domaine.

Q : Mes certificats et mes CSR sont-ils conservés ?

R : Non. L'analyse ne s'exécute pas dans votre navigateur : le domaine, le CSR ou le certificat que vous soumettez est transmis à notre API en Europe et décodé, mais rien n'en est conservé après traitement. Le contenu du CSR est retiré de nos journaux de requêtes. Aucune clé privée n'est jamais demandée : un CSR comme un certificat ne transporte que la clé publique.

Outils complémentaires

Ressources utiles

• RFC 2986 - PKCS #10 CSR (spécification des Certificate Signing Requests)
• BIMI Group - VMC Requirements (exigences pour les certificats VMC)
• CA/Browser Forum - Baseline Requirements (règles pour les certificats publics)
• DigiCert - VMC Documentation (guide d'obtention VMC)