Santé du certificat

La santé du certificat vous indique, en termes clairs, si un certificat est sûr et que faire si ce n'est pas le cas — conçu pour toute personne qui gère des sites, pas seulement les experts en sécurité.

#Vue d'ensemble

• InfraNest vérifie chaque certificat qu'il connaît et donne un verdict en termes clairs.
• Ouvrez un certificat et la réponse est la première chose sur la page — aucune recherche nécessaire.
• Les boutons de correction vous mènent directement à l'action concernée ou aux détails techniques.

#Voir ce qui ne va pas avec un certificat

1. Allez dans Certificats.
2. Sélectionnez une adresse pour inspecter ce qu'elle sert, ou choisissez Tous les certificats et ouvrez un certificat.
3. Le verdict en haut indique ce qui requiert votre attention et quoi faire. Par exemple, un intermédiaire manquant explique pourquoi certains clients ne peuvent pas faire confiance à un certificat que votre navigateur accepte.

La page s'ouvre en affichant ce qui requiert votre attention. Les contrôles réussis restent repliés sous checks passed ; sélectionnez Show pour les lire. Un bouton de correction vous mène à l'action concernée ou aux détails techniques.

Il n'y a pas d'onglets à parcourir — tout le reste décrit ici se trouve plus bas sur la même page.

#Ce que signifie chaque contrôle

Le renouvellement est celui qui cause les interruptions. La page indique qui renouvelle le certificat et quand. Un certificat expiré ou proche de l'expiration que personne ne renouvelle a besoin d'être remplacé ; un renouvellement automatique en retard nécessite une vérification du système de renouvellement, pas seulement un nouveau rappel sur son expiration.

Les détails de l'adresse et du certificat montrent aussi ce qui surveille le certificat. Sans moniteur, une panne n'est découverte qu'à la prochaine analyse au lieu du moment où elle survient.

Puis les contrôles sur le certificat lui-même :

• Clé et Signature — le chiffrement du certificat est-il assez robuste, et a-t-il été signé avec une méthode encore considérée comme sûre ? Ces deux-là sont critiques en cas d'échec : le certificat est faible, pas seulement imparfait.
• Confiance — s'agit-il d'un certificat accepté par les navigateurs, ou d'un certificat auto-signé ?
• Nom d'hôte — l'adresse que vous surveillez figure-t-elle réellement sur le certificat ? Si ce n'est pas le cas, les navigateurs afficheront un avertissement.
• Durée de validité — un certificat valide plus longtemps que les 398 jours désormais autorisés. Les navigateurs les rejettent.
• Chaîne — comment le certificat a été servi. Voir ci-dessous.
• CAA — vous pouvez publier une règle dans le DNS indiquant quelles entreprises sont autorisées à émettre des certificats pour votre domaine. Si l'émetteur de ce certificat ne figure pas sur cette liste, c'est soit une erreur à corriger, soit un certificat obtenu par quelqu'un que vous n'attendiez pas.

La chaîne et le CAA n'apparaissent que lorsque InfraNest a quelque chose à signaler : une chaîne n'est enregistrée que là où une vérification en direct ou une analyse a réellement constaté le certificat servi, et le CAA uniquement là où le domaine publie une politique à vérifier.

#Est-il correctement installé ?

Pour les certificats vus sur une adresse active, le verdict inclut le résultat de la chaîne :

• Correctement installé — la chaîne complète jusqu'à une racine approuvée par les navigateurs. Rien à faire.
• Intermédiaire manquant — seul le certificat lui-même a été envoyé. Cela fonctionne souvent dans les navigateurs mais échoue avec les applications, curl et certains téléphones, ce qui rend cette erreur facile à manquer.
• Racine non approuvée ou Auto-signé — la chaîne ne remonte à rien que les navigateurs approuvent.

Lorsqu'un intermédiaire manque, développez Technical details. Son panneau Comment corriger explique quoi ajouter à votre serveur, avec un lien de téléchargement lorsque l'émetteur en publie un.

NoteSi votre navigateur affiche le site comme fonctionnant correctement alors qu'une vérification échoue ici, consultez « Un contrôle de certificat échoue bien que le certificat soit valide ».

#Corriger ce qu'InfraNest a déduit

InfraNest renseigne les détails d'un certificat à partir du certificat lui-même, et cela peut être erroné — un certificat acheté qui se renouvelle via votre hébergeur ressemble à un certificat que personne ne renouvelle. Pour le corriger, utilisez le menu d'actions supplémentaires → Modifier le responsable et les notes en haut de la page :

• Validation — si l'émetteur a vérifié uniquement le domaine (DV), l'entreprise derrière (OV), ou a effectué une vérification étendue (EV).
• Responsable — qui dans votre équipe s'occupe de ce certificat.
• Automatiser — cochez ceci si quelque chose le renouvelle pour vous. Les alertes d'expiration restent alors informatives plutôt qu'urgentes.
• Notes — tout ce qui vaut la peine d'être retenu à son sujet.

Tout le reste — ce que couvre le certificat, qui l'a émis, quand il expire, son Numéro de série et son empreinte — est lu depuis le certificat et ne peut pas être modifié, car le changer ici ne changerait pas le certificat.

#Quand InfraNest vous prévient

Vous n'avez pas besoin de venir vérifier. InfraNest vous alerte quand un certificat expire ou a expiré, quand le certificat servi sur une adresse change, quand l'un d'eux est jugé faible, quand il a été révoqué, et quand un certificat est émis pour votre domaine alors que vous ne l'attendiez pas. Votre équipe les reçoit déjà dans l'application et par e-mail ; pour les envoyer ailleurs, et choisir lesquelles cette destination reçoit, allez dans Alertes → Destinations d'alerte.

#Astuces

TipUn renouvellement n'est pas terminé tant que chaque adresse ne le sert pas. Si l'une d'elles sert encore le certificat précédent, la section de déploiement nomme cette adresse et propose Vérifier ; le certificat précédent reste dans l'historique.

#Dépannage

• Un certificat qu'InfraNest n'a vu que dans un journal public de certificats, ou dans la liste d'un fournisseur, n'a aucune information de chaîne ou de surveillance, car personne n'a observé qu'il était servi. C'est pourquoi certaines de ces sections ne sont pas présentes sur chaque certificat.