Le nom SSL est resté par habitude. Le protocole SSL a été abandonné au profit de TLS : sa dernière version, SSL 3.0, est déclarée obsolète par la RFC 7568 depuis 2015. Les certificats, eux, n'ont pas changé de rôle.
Ce que contient un certificat
Le format des certificats est décrit par la RFC 5280. Pour un site web, les champs qui comptent sont peu nombreux :
- les noms couverts, dans le champ « Subject Alternative Name » : le domaine, souvent sa version avec www, parfois un sous-domaine ou un nom générique comme
*.exemple.fr; - la clé publique du site, dont la clé privée correspondante reste sur le serveur et ne le quitte jamais ;
- l'émetteur, c'est-à-dire l'autorité de certification qui a signé ;
- les dates de début et de fin de validité ;
- la signature de l'émetteur, qui empêche de modifier un seul de ces champs sans que cela se voie.
Le certificat est public : n'importe qui peut le lire. Ce qui protège le site, c'est la clé privée.
La chaîne de confiance
Votre navigateur et votre système embarquent une liste d'autorités racines en qui ils ont confiance. Ces racines signent rarement les certificats des sites elles-mêmes : elles signent des autorités intermédiaires, qui signent à leur tour le certificat de votre site.
À la connexion, le serveur envoie son certificat et le certificat intermédiaire. Le navigateur remonte la chaîne jusqu'à une racine qu'il connaît. Si le serveur oublie l'intermédiaire, la chaîne est incomplète et certains navigateurs refusent la connexion alors que le certificat lui-même est valide.
Ce qui se passe à la connexion
Le déroulé exact est défini par le protocole TLS, dans sa version 1.3 par la RFC 8446. En simplifiant :
- Le navigateur se connecte au serveur et annonce le nom du site qu'il veut joindre. Un même serveur héberge souvent plusieurs sites et choisit ainsi le bon certificat.
- Le serveur répond avec son certificat et prouve qu'il détient la clé privée associée.
- Le navigateur vérifie la signature jusqu'à une racine connue, la présence du nom demandé dans le certificat et les dates de validité.
- Les deux côtés calculent des clés de session, et tout ce qui suit est chiffré.
DV, OV et EV : trois niveaux de vérification
Le chiffrement est le même quel que soit le niveau. Ce qui change, c'est ce que l'autorité a vérifié avant de signer.
| Niveau | Ce qui est vérifié |
|---|---|
| DV (validation du domaine) | le demandeur contrôle le nom de domaine, une vérification qui s'automatise |
| OV (validation de l'organisation) | le domaine, plus l'existence de l'entreprise |
| EV (validation étendue) | une vérification plus poussée de l'entreprise |
Let's Encrypt, l'autorité gratuite la plus répandue, ne délivre que des certificats DV et n'a pas l'intention de délivrer des OV ou des EV, selon sa FAQ. Pour un site vitrine, un blog ou une boutique, un certificat DV suffit.
Une durée de validité qui raccourcit
Un certificat expire, et c'est voulu : une clé volée ou un nom qui change de propriétaire ne reste pas valable indéfiniment. Les règles communes aux autorités et aux navigateurs, fixées par le CA/Browser Forum, ramènent la durée maximale de 398 jours à 47 jours, par paliers entre mars 2026 et mars 2029, d'après le vote SC-081v3 d'avril 2025.
Les certificats de Let's Encrypt durent déjà 90 jours, avec un renouvellement conseillé à 60 jours. Conséquence pratique : un certificat qu'on renouvelle à la main finira par être oublié. Seul un renouvellement automatique tient dans la durée.
Lire le certificat d'un site
Dans le navigateur, cliquez sur l'icône à gauche de l'adresse, puis sur les informations de connexion : selon le navigateur, un lien mène au détail du certificat, avec l'émetteur et les dates.
En ligne de commande, la commande suivante affiche les noms couverts, l'émetteur et les dates. Remplacez exemple.fr par votre domaine :
openssl s_client -connect exemple.fr:443 -servername exemple.fr </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltNameLa première partie récupère le certificat présenté pour ce nom ; la seconde n'en garde que les champs utiles, selon la documentation d'OpenSSL. Si votre domaine n'apparaît pas dans la liste des noms, ou si la date de fin est passée, le navigateur refusera la connexion.
Chez Hubspace
Sur les sites que nous hébergeons, le certificat de Let's Encrypt est posé et renouvelé automatiquement. La mise en place et le contenu mixte sont détaillés dans Certificat SSL gratuit, le passage d'un site existant dans Passer son site en HTTPS, et les messages d'erreur dans « Votre connexion n'est pas privée ».
Questions fréquentes
Un certificat payant protège-t-il mieux ?
Non pour le chiffrement : un certificat gratuit chiffre exactement comme un certificat payant. Un certificat OV ou EV ajoute une vérification de l'entreprise, ce qui peut compter pour certains usages professionnels, sans rendre la connexion plus sûre.
Que se passe-t-il quand un certificat expire ?
Le navigateur affiche un avertissement en pleine page et la plupart des visiteurs repartent. Le site n'est pas cassé, mais il paraît dangereux. C'est pourquoi le renouvellement doit être automatique, et sa date surveillée.
Un certificat peut-il couvrir plusieurs sites ?
Oui. Un même certificat peut lister plusieurs noms, par exemple le domaine, sa version www et un sous-domaine. Un certificat générique couvre tous les sous-domaines d'un niveau ; chez Let's Encrypt, il demande une validation par le DNS du domaine.
Articles liés
- Double authentification : l'activerDouble authentification : ce qu'elle protège, comment l'activer sur WordPress et sur votre espace client, et que faire si vous perdez votre téléphone.
- Attaque par force brute : s'en protégerAttaque par force brute : comment des robots essaient des milliers de mots de passe sur votre WordPress, comment la repérer et ce qui l'arrête.
- Certificat SSL gratuit : Let's Encrypt expliquéCertificat SSL gratuit avec Let's Encrypt : à quoi il sert, comment passer un site en HTTPS, le renouvellement et le piège du contenu mixte.