Un contrôle de certificat échoue alors que le certificat est valide

Si votre navigateur affiche un cadenas valide mais qu'InfraNest signale un problème, ou qu'un moniteur SSL indique que votre site est en panne, cet article est pour vous.

Vue d’ensemble

• Les navigateurs sont indulgents : ils complètent les éléments manquants du certificat et se souviennent de ce qu'ils ont déjà vu sur d'autres sites.
• Nos contrôles, ainsi que les applications, les prestataires de paiement et les autres serveurs qui se connectent à votre site, ne sont pas indulgents de la même manière.
• Lorsque nos résultats diffèrent de ceux de votre navigateur, nous voyons généralement ce que voient ces autres visiteurs, et non ce que vous voyez.

Trouver quel contrôle échoue

1. Allez dans Certificats et ouvrez le certificat.
2. Posture de sécurité en haut de page liste uniquement les contrôles qui nécessitent une attention. Sélectionnez une ligne pour lire ce qu'elle signifie et ce qu'il faut faire.

Si c'est un moniteur SSL qui est en panne, ouvrez le moniteur sous Moniteurs. Son message est moins précis : Couldn't establish a secure (SSL/TLS) connection, ou SSL certificate problem pour un moniteur de site web. Dans tous les cas, ouvrez le certificat comme indiqué ci-dessus pour trouver quelle partie a échoué.

Corriger une chaîne de certificats incomplète

Si Chaîne indique Intermédiaire manquant, votre serveur envoie son propre certificat mais pas celui qui le relie à une autorité de certification reconnue par les navigateurs. Les navigateurs ont souvent cet élément en mémoire grâce à un autre site, ils ne remarquent donc rien — contrairement aux applications et à nos contrôles.

1. Sélectionnez Voir la chaîne.
2. Ouvrez le panneau Comment corriger. Il renvoie vers l'intermédiaire manquant, là où l'émetteur le publie.
3. Ajoutez l'intermédiaire au fichier de certificat de votre serveur (souvent appelé le bundle ou la chaîne complète).
4. Redémarrez le serveur web. La plupart des hébergeurs et panneaux de contrôle disposent d'un champ dédié à cet effet.

Corriger une adresse manquante sur le certificat

Si Hostname indique L'adresse du site n'est pas sur le certificat, le certificat que vous possédez ne liste pas l'adresse exacte vérifiée. Par exemple, un moniteur vérifiant www.example.com échouera si le certificat ne couvre que example.com.

1. Pointez le moniteur vers une adresse couverte par le certificat,
2. ou obtenez un certificat qui inclut l'adresse dont vous avez besoin.

NoteUn certificat pour *.example.com couvre www.example.com mais pas example.com lui-même, ni shop.eu.example.com.

Corriger une incohérence de certificat entre serveurs

Votre site peut servir des certificats différents selon les visiteurs. Cela se produit lorsque :

• l'adresse pointe vers plusieurs serveurs, et l'un d'eux possède encore un ancien certificat ;
• le site a une adresse IPv6, et le serveur derrière celle-ci n'a jamais reçu le nouveau certificat ;
• un équilibreur de charge ou un CDN se trouve en amont, et son certificat n'est pas celui installé sur votre serveur ;
• le serveur héberge plusieurs sites et distribue un certificat par défaut pour une adresse qu'il ne reconnaît pas.

Lorsque nous détectons un certificat différent sur une adresse que nous surveillons, vous recevez une alerte Certificate changed, et l'autre certificat apparaît comme une ligne distincte sur la page Certificats. Ouvrez cette ligne pour voir quel certificat notre contrôle a reçu, puis installez le bon certificat sur le serveur ou le service qui le distribue.

Corriger une incohérence d'émetteur CAA

Si CAA indique Émetteur non autorisé par la politique CAA du domaine, votre DNS contient une règle précisant quelles entreprises peuvent émettre des certificats pour votre domaine, et l'émetteur de ce certificat n'en fait pas partie. Le certificat fonctionne toujours, mais votre prochain renouvellement pourrait être refusé.

1. Sélectionnez Gérer CAA.
2. Ajoutez l'émetteur à la règle, ou vérifiez si vous attendiez réellement ce certificat.

Vérifier à nouveau après correction

1. Pour un moniteur, sélectionnez Run now sur la page du moniteur.
2. Pour un certificat sans moniteur, allez dans Certificats, sélectionnez Ajouter un certificat, choisissez Scanner un point de terminaison, saisissez l'adresse, puis sélectionnez Scanner. Le certificat existant sera mis à jour.

TipInutile de tout corriger dans l'urgence — chaque adresse est de toute façon analysée à nouveau automatiquement une fois par jour.