Un certificat qui expire un week-end est un type de panne fréquent et évitable. Le site web fonctionne, mais les navigateurs refusent de l’ouvrir. Cette page décrit ce qu’il faut faire quand UptimeWire vous prévient, et ce que l’avertissement peut ou ne peut pas faire pour vous.

Pour comprendre comment fonctionnent les certificats et pourquoi le renouvellement échoue, lisez le guide Comment éviter l’expiration d’un certificat SSL. Cette page commence là où ce guide s’arrête : un avertissement est dans votre boîte de réception.

Ce que voient les visiteurs avec un certificat expiré

Quand le certificat a expiré, les navigateurs affichent un avertissement en pleine page et beaucoup de visiteurs s’en vont. Le serveur peut être parfaitement sain. C’est pourquoi une vérification de disponibilité ordinaire peut réussir alors que les visiteurs sont bloqués, et pourquoi le certificat demande une vérification à part.

La démarche

1. Surveillez une adresse https

Chaque site web que vous ajoutez voit son certificat vérifié, tant que l’adresse commence par https://. La vérification lit le certificat que le serveur présente pour cette adresse.

2. Choisissez le délai d’avertissement

Le délai d’avertissement se définit pour chaque site web. Vous pouvez choisir 1, 2, 3, 7, 14, 30 ou 60 jours avant l’expiration.

Un délai plus long laisse plus de marge si le renouvellement dépend de quelqu’un d’absent, ou d’une validation. Un délai plus court convient à un certificat qui se renouvelle automatiquement et dont vous ne voulez entendre parler que si quelque chose a mal tourné. En cas de doute, 14 ou 30 jours laissent le temps de réagir sans devenir un rappel constant.

3. Recevez l’avertissement

L’avertissement est envoyé par e-mail et par Telegram. Les autres canaux, comme Slack ou Discord, ne transportent pas les avertissements de certificat : gardez donc l’e-mail activé pour cela.

La vérification du certificat s’exécute environ toutes les six heures. Un avertissement arrive donc quelques heures après le franchissement du seuil, et non à cet instant exact. Considérez le délai choisi comme une avance, pas comme une échéance.

4. Inspectez le certificat

Ouvrez le site web et regardez les détails du certificat. Notez la date d’expiration, le nom pour lequel il a été émis et qui l’a émis. Si la date est plus tardive que ne le suggère l’avertissement, le renouvellement a peut-être déjà eu lieu alors que le serveur sert encore l’ancien fichier ou n’a pas été rechargé.

5. Renouvelez et déployez

Cette étape se déroule dans votre propre infrastructure. Selon votre configuration, il peut s’agir de lancer l’outil de renouvellement, de demander à l’hébergeur ou de téléverser un nouveau certificat. UptimeWire n’y participe pas.

Important

UptimeWire surveille les certificats. Il ne les renouvelle, ne les installe ni ne les répare.

6. Vérifiez ce qui est servi

Renouveler n’est pas la même chose que servir. De nombreux serveurs continuent d’utiliser l’ancien certificat jusqu’à ce qu’ils soient rechargés. Ouvrez à nouveau l’adresse et vérifiez la nouvelle date d’expiration. La prochaine vérification planifiée du certificat met aussi à jour ce qu’UptimeWire affiche.

Un exemple concret

Cet exemple est inventé, ce n’est pas un cas client. Un freelance s’occupe du site web d’une petite entreprise. Il définit le délai d’avertissement de https://example.com/ à 14 jours. Le certificat se renouvelle automatiquement, mais une modification des réglages du serveur a empêché le renouvellement de fonctionner.

Quatorze jours avant la date d’expiration, un avertissement arrive par e-mail. Le freelance ouvre le site web et voit l’ancien certificat. Il lance l’outil de renouvellement, trouve l’erreur, corrige le réglage, recharge le serveur et vérifie que la nouvelle date apparaît.

Sans l’avertissement, le premier signe aurait été un visiteur, ou un message du navigateur le jour où le certificat est arrivé à échéance.

Ce que cela ne fait pas

  • Cela ne renouvelle pas les certificats. Le renouvellement automatique est un processus distinct, chez votre hébergeur.
  • Cela ne couvre pas tous les certificats que vous possédez. Surveiller https://example.com/ vérifie le certificat que cette adresse sert. Les autres sites web, sous-domaines, serveurs de messagerie et services internes demandent leurs propres entrées ou d’autres outils.
  • Cela ne donne pas d’alerte à l’instant exact. Les certificats sont vérifiés environ toutes les six heures.
  • Cela ne trouve pas la cause d’un renouvellement échoué. Cela vous dit que l’expiration approche.

Quand cela convient

Cette démarche convient à toute personne qui s’appuie sur un site web en https et ne veut pas que l’expiration du certificat soit une surprise, que le certificat soit renouvelé à la main ou automatiquement. Plus votre renouvellement est automatique, plus l’avertissement sert de filet de sécurité le jour où l’automatisation échoue.