Les certificats SSL/TLS expliqués (sans le jargon technique)

Lorsque vous voyez le cadenas dans le navigateur, TLS (souvent encore appelé SSL) chiffre le trafic entre vous et le serveur. Un certificat associe une clé publique à un nom d'hôte (et parfois à une identité d'entreprise) afin que votre navigateur puisse vérifier que vous communiquez bien avec le site réel, et non avec un imposteur sur le même Wi‑Fi.

Ce que prouve réellement le certificat

• Validation de domaine (DV) — Vous contrôlez le domaine ; les visiteurs bénéficient du chiffrement, mais avec une preuve d'identité limitée.
• Validation d'organisation (OV) / Validation étendue (EV) — Vérifications plus poussées sur l'entité juridique ; l'EV affichait autrefois une barre verte distinctive, mais elle est moins visible dans les navigateurs modernes.

Pour la plupart des sites, les certificats DV gratuits de Let's Encrypt sont suffisants : chiffrement + renouvellement automatisé.

La chaîne de certificats

Les navigateurs font confiance aux autorités de certification racines intégrées dans le système d'exploitation. Votre serveur envoie le certificat final + les intermédiaires ; le navigateur remonte la chaîne jusqu'à une racine de confiance. Si un intermédiaire est manquant, certains clients affichent « certificat non approuvé », même si OpenSSL sur votre machine locale semble fonctionner correctement.

Configurez toujours votre serveur pour servir la chaîne complète telle que documentée par votre autorité de certification.

Expiration et renouvellement

Les certificats expirent. Let's Encrypt émet des certificats à courte durée de vie (90 jours) pour encourager l'automatisation. Configurez le renouvellement ACME (Certbot, Caddy, Traefik, ou le panneau de votre hébergeur) et surveillez les échecs.

Les certificats expirés font planter :

• HTTPS pour les utilisateurs
• Les APIs qui épinglent TLS ou utilisent des clients stricts
• Les Webhooks si votre récepteur valide mal le TLS sortant

Incompatibilité de nom d'hôte

Un certificat pour www.example.com peut ne pas couvrir example.com à moins que les entrées SAN n'incluent les deux — ou que vous utilisiez un certificat générique *.example.com (qui ne couvre pas l'apex nu).

Utilisez notre SSL Checker pour consulter l'expiration, l'émetteur et la couverture des noms d'hôtes depuis la perspective de l'internet public.

DNS avant TLS

TLS dépend de la capacité des clients à atteindre la bonne adresse IP. Après des migrations, confirmez les enregistrements A/AAAA/CNAME avec DNS Lookup avant de passer du temps à déboguer des suites de chiffrement.

Si les redirections HTTP se comportent de manière inattendue, le HTTP Status Checker vous aide à vérifier les chaînes 301/302 de http vers https.

Liste de contrôle pratique

• Activez HTTPS partout ; redirigez HTTP avec un 301
• Ne servez HSTS qu'une fois que vous êtes certain que tous les sous-domaines prennent en charge HTTPS
• Automatisez le renouvellement et alertez à moins de 14 jours avant l'expiration
• Testez depuis des réseaux mobiles et des proxys d'entreprise, pas seulement depuis votre bureau

HTTPS est un prérequis incontournable pour le SEO, la sécurité et la confiance des utilisateurs — et résoudre les problèmes de chaîne ou d'incompatibilité de nom d'hôte est généralement plus rapide qu'il n'y paraît, une fois que vous savez quoi chercher.