Vérificateur SSL
Vérifiez le certificat SSL/TLS d'un site : qui l'a émis, quand il expire et si les navigateurs lui feront confiance.
Chargement de Vérificateur SSL… Si rien ne se passe, activez JavaScript.
Tout site HTTPS présente un certificat pendant la négociation TLS. Ce certificat lie le nom du site à une clé publique et il est signé par une autorité de certification (CA) en laquelle les navigateurs ont déjà confiance. Quand quelque chose cloche, le certificat a expiré cette nuit, le serveur a oublié d'envoyer le certificat intermédiaire ou le nom du certificat ne correspond pas au domaine, les visiteurs voient un avertissement de sécurité en pleine page et la plupart repartent. Ce vérificateur SSL se connecte au serveur comme le ferait un navigateur et vous montre exactement ce qu'il présente.
Exemples
example.com
Trusted chain · Name matches · 54 days left · EC 256 bit · TLSv1.3
Un certificat en bonne santé : tous les contrôles passent.
a site serving only its leaf certificate
Not trusted: the intermediate certificate(s) are missing
Fonctionne souvent dans les navigateurs de bureau mais échoue sur mobile, avec curl et les clients API.
Questions fréquentes
Pourquoi mon site fonctionne dans mon navigateur alors que le vérificateur dit que la chaîne n'est pas fiable ?
Que signifie « name mismatch » (nom non concordant) ?
Combien de jours avant l'expiration faut-il renouveler ?
Puis-je vérifier un serveur de messagerie ou un autre port ?
Quelle taille de clé et quel algorithme de signature sont acceptables aujourd'hui ?
Le vérificateur teste-t-il des failles comme Heartbleed ou des chiffrements faibles ?
À quoi servent les empreintes SHA-256 et SHA-1 ?
Les domaines que je vérifie sont-ils enregistrés ?
À propos de Vérificateur SSL
Saisissez un domaine (ou collez une URL complète) et l'outil effectue une vraie négociation TLS avec le SNI réglé sur ce nom. Il affiche le titulaire et l'émetteur du certificat, la période de validité et le nombre de jours restants, le type et la taille de la clé publique, l'algorithme de signature, le numéro de série, les empreintes SHA-256 et SHA-1, tous les Subject Alternative Names couverts et la chaîne complète des certificats intermédiaires envoyés par le serveur. La version de TLS et la suite de chiffrement négociées sont aussi indiquées.
Le verdict repose sur des contrôles indépendants. La confiance est testée par une seconde négociation qui valide la chaîne contre un magasin de racines standard : un certificat auto-signé, une CA privée ou un intermédiaire manquant sont donc détectés même si votre navigateur a l'intermédiaire en cache et que tout semble normal. Le nom est comparé à la liste SAN avec les mêmes règles de joker que les navigateurs (un joker couvre exactement un niveau, donc *.example.com ne couvre ni example.com ni a.b.example.com). L'expiration, les dates pas encore valides, les clés RSA trop courtes, les signatures SHA-1 et les anciennes versions de TLS sont également signalées.
Le contrôle est lancé depuis notre serveur, il montre donc ce que voit l'internet public, ce qui compte après un renouvellement de certificat ou un changement de CDN. Les adresses privées et internes sont bloquées et seuls les ports TLS sont autorisés (443, 8443 et les ports TLS implicites de messagerie et LDAP 465, 993, 995 et 636). Rien n'est conservé sur les domaines que vous vérifiez.
Du SSL 2.0 de Netscape aux certificats de 47 jours
SSL a été créé chez Netscape en 1994 pour rendre possibles les achats en ligne. La version 1.0 n'a jamais été publiée à cause de failles graves, et SSL 2.0, livré avec Netscape Navigator en 1995, a été cassé peu après. SSL 3.0 (1996) était une refonte, et son successeur a été rebaptisé TLS 1.0 en 1999 quand l'IETF a repris le protocole, en partie pour ne pas donner l'impression d'entériner simplement le travail de Netscape. On parle toujours de « certificat SSL » alors que SSL lui-même est interdit depuis des années.
La durée de vie des certificats n'a cessé de raccourcir. Au début des années 2010, on pouvait acheter un certificat valable cinq ans. Le CA/Browser Forum a abaissé le maximum à 39 mois en 2015, à 825 jours en 2018, et Apple a imposé seule 398 jours en 2020 en faisant refuser par Safari tout certificat plus long. En 2025, le Forum a voté d'aller plus loin en réduisant le maximum par paliers jusqu'à 47 jours en 2029, ce qui rend le renouvellement automatique pratiquement obligatoire.
Let's Encrypt a changé l'économie du HTTPS à son lancement en 2015, avec des certificats gratuits et automatisés et une durée de 90 jours choisie exprès pour pousser à l'automatisation. En quelques années, elle est devenue la plus grande autorité de certification au monde, avec des millions de certificats émis par jour, et la part des pages chargées en HTTPS dans Chrome est passée de moins de la moitié à bien plus de 90 pour cent.