Quand vous ouvrez une adresse https://, le navigateur demande d’abord son certificat au serveur. Le certificat répond à deux questions : ce serveur a-t-il vraiment le droit de parler au nom de ce nom de domaine, et quelle clé faut-il utiliser pour chiffrer la conversation.

Le nom SSL est ancien. Les connexions modernes utilisent TLS, le protocole Transport Layer Security. On dit toujours « certificat SSL », et les deux termes désignent la même chose dans l’usage courant.

Ce que contient un certificat

Un certificat est un document signé. MDN le décrit comme liant les clés d’un site à son nom de domaine. Ses principaux éléments :

  • Les noms pour lesquels il est valide, par exemple example.com et www.example.com.
  • La clé publique du serveur.
  • La période de validité : une date de début et une date de fin. La RFC 5280 les appelle notBefore et notAfter, et la période inclut les deux bornes.
  • L’émetteur, l’autorité de certification qui se porte garante.
  • Une signature de l’émetteur, qui permet à un navigateur de vérifier que rien n’a été altéré.

Ce qu’il fait

  • Identité. Le navigateur vérifie que le certificat couvre le nom affiché dans la barre d’adresse et qu’une autorité de certification à laquelle il fait confiance l’a signé.
  • Chiffrement. La clé publique permet au navigateur et au serveur de convenir de clés pour une connexion chiffrée, de sorte que d’autres sur le trajet ne puissent ni lire ni modifier ce qui est envoyé.

La chaîne de confiance

Un serveur présente rarement un certificat signé directement par une autorité que le navigateur connaît déjà. Il présente son propre certificat accompagné de certificats intermédiaires qui le relient à une racine de confiance. La RFC 5280 décrit cela comme un chemin de certification : le certificat du site, plus zéro ou plusieurs certificats d’autorités, menant à une ancre de confiance que l’utilisateur détient déjà. Si un maillon manque ou n’est pas valide, le navigateur rejette tout le chemin.

Pourquoi les certificats expirent

Chaque certificat a une date de fin. Une durée de vie limitée borne le temps pendant lequel une erreur ou une clé volée reste exploitable. Cela signifie aussi que les certificats doivent être renouvelés. Le renouvellement est souvent automatisé, et l’automatisation peut échouer sans aucun signe visible. Après la date de fin, les navigateurs cessent de faire confiance au site et affichent un avertissement plein écran, alors que le serveur n’a aucun problème. Consultez Comment éviter l’expiration d’un certificat SSL.

Ce qu’un certificat ne prouve pas

Un certificat valide indique que la connexion est chiffrée et que le nom correspond. Il n’indique pas que le site est honnête, sûr ou sans erreur. Il n’indique pas que l’application fonctionne.

Les certificats SSL dans UptimeWire

Pour chaque site web dont l’adresse commence par https://, UptimeWire ouvre une véritable connexion sécurisée toutes les six heures. Il vérifie les dates, la chaîne et le fait que le certificat couvre le nom d’hôte. Un certificat défaillant, ou proche de sa date de fin, déclenche une alerte par e-mail et par Telegram. Vous choisissez, pour chaque site web, combien de jours à l’avance.

Si le serveur est injoignable, le résultat est affiché comme inconnu plutôt que comme un échec du certificat. UptimeWire vous prévient. Il ne renouvelle ni n’installe les certificats.