HTTPS repose sur TLS pour chiffrer les échanges et permettre au navigateur de vérifier l’identité technique du serveur. Une configuration correcte protège la connexion contre l’écoute et la modification en transit, mais elle ne transforme pas automatiquement le site en service digne de confiance.
Ce que TLS protège
Lors de la connexion, le serveur présente un certificat contenant notamment les noms couverts et une période de validité. Le navigateur vérifie la chaîne de confiance, puis négocie des clés de session pour chiffrer les échanges.
- les données circulent chiffrées entre le navigateur et le serveur ;
- une modification en transit est détectée ;
- le serveur prouve qu’il utilise un certificat valide pour le nom demandé.
Cette protection concerne le trajet réseau. Les données peuvent ensuite être stockées ou traitées par l’application selon ses propres règles.
Ce que le cadenas ne garantit pas
Un site de phishing peut lui aussi obtenir un certificat pour son propre domaine. TLS ne vérifie pas que l’offre commerciale est honnête, que le code du site est exempt de vulnérabilités ou que la base de données est bien protégée.
Le certificat ne remplace donc pas les mises à jour, la gestion des accès, les sauvegardes, les journaux et les contrôles applicatifs.
Les points à vérifier sur un certificat
| Contrôle | Pourquoi |
|---|---|
| Date d’expiration | Un certificat expiré déclenche une alerte bloquante |
| Noms couverts | Le domaine demandé doit figurer dans le certificat |
| Chaîne | Les certificats intermédiaires doivent être correctement servis |
| Algorithmes et protocoles | Les versions obsolètes doivent être désactivées |
| Redirections | Toutes les variantes publiques doivent arriver en HTTPS |
Pourquoi le renouvellement automatique peut échouer
Les certificats à courte durée sont conçus pour être renouvelés automatiquement. L’automatisation peut toutefois échouer si le DNS a changé, si le port de validation est bloqué, si le serveur ne répond plus, si les permissions ont été modifiées ou si la tâche planifiée ne fonctionne pas.
Vérifiez que le renouvellement est réellement testé et pas seulement configuré. Après chaque changement de proxy, de DNS ou d’hébergement, contrôlez de nouveau le parcours de validation.
Surveiller avant l’expiration
Une alerte utile doit laisser assez de temps pour corriger le problème. Contrôlez la date d’expiration à plusieurs échéances, par exemple bien avant la date limite puis plus fréquemment à l’approche de celle-ci. Surveillez aussi le certificat réellement présenté depuis Internet : un fichier renouvelé mais non rechargé par le serveur ne résout pas l’incident.
- tester le renouvellement automatique ;
- contrôler toutes les variantes de domaine ;
- vérifier le certificat exposé après un déploiement ;
- prévoir une alerte vers une adresse encore consultée ;
- documenter la procédure de renouvellement manuel.
Vérifier le HTTPS d’un domaine
DomainCheck contrôle le certificat présenté publiquement, sa validité et plusieurs paramètres liés au domaine.
Analyser mon HTTPSQue faire face à une alerte de certificat ?
Ne conseillez pas aux visiteurs de contourner l’alerte. Vérifiez le nom demandé, le certificat présenté, la date et la chaîne. Renouvelez ou corrigez la configuration, rechargez le serveur concerné, puis testez depuis un réseau extérieur.
Pour automatiser ce suivi, consultez Surveiller un domaine, son certificat TLS et DMARC.
Publié le 5 août 2026.