Contrôler la période de validité du certificat TLS présenté par un site.
Étapes à suivre
-
1
Utiliser un navigateur pour un contrôle visuel
Ouvrez les informations de sécurité du site puis le certificat.
-
2
Vérifier les dates
Repérez les champs de début et de fin de validité.
-
3
Contrôler le nom couvert
Vérifiez que le certificat couvre le nom de domaine utilisé.
-
4
Automatiser si nécessaire
Pour de nombreux services, utilisez une supervision de certificats plutôt qu’un contrôle manuel.
À retenir
- Un certificat valide peut tout de même être mal configuré si la chaîne intermédiaire est incorrecte.
- Anticipez le renouvellement au lieu d’attendre la date d’expiration.
HTTPS/TLS : séparer disponibilité HTTP, handshake TLS et identité du certificat
Repères techniques
- Un port 443 ouvert ne prouve pas qu’un handshake TLS valide aboutit, et un handshake valide ne prouve pas que le code HTTP est 200.
- Le certificat doit couvrir le nom utilisé via SAN, être dans sa période de validité et présenter une chaîne de confiance complète.
- Avec SNI, tester l’IP seule peut présenter un certificat différent de celui du nom DNS.
OpenSSL + HTTP
Tester le handshake avec le bon servername puis lire le statut HTTP séparément.
openssl s_client -connect example.com:443 -servername example.com -showcerts
curl -I https://example.com/Pièges spécifiques
- Ne pas confondre certificat expiré et chaîne intermédiaire manquante : les messages clients diffèrent.
- Schannel 36874/36888 doit être corrélé au protocole/cipher et au client qui déclenche l’alerte.
Comment valider
- Le nom, la chaîne, les dates et le protocole sont valides depuis un client représentatif.
- La requête HTTP atteint le backend attendu et retourne le statut prévu.
Preuves et vérifications
Un port 443 ouvert ne prouve pas qu’un handshake TLS valide aboutit, et un handshake valide ne prouve pas que le code HTTP est 200. Le certificat doit couvrir le nom utilisé via SAN, être dans sa période de validité et présenter une chaîne de confiance complète.
Contrôle de résultat
Le nom, la chaîne, les dates et le protocole sont valides depuis un client représentatif. La requête HTTP atteint le backend attendu et retourne le statut prévu.
Point d’attention
Ne pas confondre certificat expiré et chaîne intermédiaire manquante : les messages clients diffèrent. Avec SNI, tester l’IP seule peut présenter un certificat différent de celui du nom DNS.
Concepts liés
Référence primaire : OpenSSL Documentation — s_client.