Le certificat expire toujours un dimanche
Une expiration de certificat rend le site inaccessible avec un avertissement de sécurité alarmant. C'est évitable intégralement, et pourtant fréquent.
Le site est en ligne, le serveur répond, rien n’est tombé. Mais le navigateur affiche un avertissement rouge qui parle de connexion non sécurisée, et la quasi-totalité des visiteurs rebroussent chemin.
Un certificat expiré ne dégrade pas : il bloque.
Le renouvellement automatique ne suffit pas
Les certificats gratuits se renouvellent automatiquement, ce qui a fait disparaître la majorité de ces pannes. Il en reste une catégorie, plus vicieuse : le renouvellement configuré mais cassé depuis des semaines.
Les causes habituelles :
- une redirection ajoutée devant le chemin de vérification, qui empêche l’autorité de valider le domaine ;
- un enregistrement DNS modifié lors d’un autre chantier ;
- un pare-feu resserré qui bloque la requête de validation entrante ;
- un domaine ajouté au certificat mais qui ne pointe plus vers le serveur — l’échec porte alors sur l’ensemble, pas seulement sur ce domaine.
Dans les quatre cas, le renouvellement échoue en silence. La tâche s’exécute, journalise une erreur que personne ne lit, et l’ancien certificat continue de fonctionner jusqu’à son terme.
Superviser l’échéance, pas la tâche
Vérifier que la tâche de renouvellement s’est exécutée ne prouve rien : elle s’exécute, et échoue.
La seule mesure fiable interroge le certificat réellement servi, depuis l’extérieur, et compare sa date d’expiration à la date du jour. Une alerte à trois semaines laisse le temps de comprendre ; une alerte à trois jours arrive un vendredi soir.
echo | openssl s_client -connect exemple.fr:443 2>/dev/null \
| openssl x509 -noout -enddate
Cette commande, dans une tâche planifiée avec une comparaison de date, couvre le besoin.
Les domaines oubliés
Le domaine principal est surveillé. Les autres le sont rarement : le sous-domaine de préproduction, l’ancien nom conservé en redirection, le domaine d’une campagne terminée.
Chacun peut afficher le même avertissement à un visiteur arrivé par un lien ancien. La supervision porte sur la liste des noms servis, pas sur le nom principal.
Ce qu’il faut vérifier après un changement d’infrastructure
Tout déplacement de serveur, changement de reverse proxy ou reprise de configuration doit être suivi d’une vérification explicite du renouvellement — sans attendre l’échéance réelle. La plupart des outils permettent de simuler le renouvellement à blanc.
Une minute après le chantier, contre une panne visible de tous trois mois plus tard.