Domaines & DNS
Ne laissez jamais un certificat faire tomber votre site
Chaque certificat TLS que vous servez, trouvé pour vous et tenu dans une seule liste — une ligne par certificat, quel que soit le nombre d’endroits où vous le croisez. InfraNest les lit depuis vos moniteurs, depuis un scan, depuis les journaux publics et chez vos fournisseurs, vous dit en clair ce qui ne va pas avec chacun, et ne vous réveille que si un renouvellement a réellement échoué.
Offre gratuite · Sans carte · Premiers certificats trouvés en moins d’une minute
- Trouvés sans que vous les listiez
- Une ligne par certificat, pas par observation
- Silencieux jusqu’à l’échec réel d’un renouvellement
- Nous ne conservons jamais votre clé privée
Sectigo RSA Organization Validation Secure Server CAÉmetteurMoniteurDécouvert, non surveilléIgnorer
Un moniteur SSL en direct surveille ce certificat — une expiration, une chaîne cassée ou une panne est détectée au moment où elle survient. Les certificats découverts sans moniteur sont un angle mort ; en ajouter un le rattache automatiquement au passage suivant.
Ajouter un moniteur SSLCAAÉmetteur non autorisé par la politique CAA du domaineIgnorer
Les règles DNS du domaine indiquant qui peut émettre des certificats (ses enregistrements CAA) ne mentionnent pas l’émetteur de ce certificat — soit une erreur de configuration, soit un certificat que quelqu’un a obtenu de façon inattendue.
Gérer CAAAfficher les 6 réussisMasquer les réussis
Fonctionne avec vos sources de certificats
Vous n’avez pas à savoir où ils sont tous
Les certificats qui mettent un site à terre sont précisément ceux que personne n’a inscrits dans le tableur — sur un répartiteur de charge monté il y a deux ans, sur un serveur de messagerie, sur un service interne. L’écran d’ajout ne commence donc pas par un formulaire : il commence par vous dire lesquels de vos propres domaines enregistrés n’ont aucun certificat, ce qui est en général la raison de votre venue. Au-delà, six voies alimentent le même inventaire : chaque moniteur SSL que vous exploitez déjà, un scan de n’importe quel nom d’hôte, les journaux Certificate Transparency, les API de vos fournisseurs et registrars, un import PEM en masse pour vos propres outils, et un champ de collage. Chaque certificat est ensuite rattaché au domaine auquel il appartient — apex, sous-domaine ou wildcard — y compris rétroactivement, si vous ajoutez ce domaine des mois plus tard.
- Les domaines que vous possédez et que rien ne sert, listés avant que vous ne tapiez quoi que ce soit
- Un scan lit un nom d’hôte directement — y compris auto-signé, expiré ou non concordant
- AWS ACM, Cloudflare, DigitalOcean, Hetzner, IONOS, TransIP, Namecheap, Porkbun, Openprovider et SSL.com
- Envoyez un lot de PEM depuis vos propres outils — jusqu’à 500 par appel, dédupliqués, pour qu’un job puisse renvoyer tout son jeu
Scannez un point de terminaison en direct, importez un certificat que vous avez déjà, ou partez d’un domaine qui n’en a aucun.
Domaines enregistrés pour lesquels InfraNest n’a aucun certificat. Scannez-en un pour détecter un certificat déjà servi.
Entrez un hôte public et nous nous y connectons, lisons le certificat qu’il sert et l’ajoutons à l’inventaire — y compris auto-signé ou expiré, pour que les contrôles puissent le signaler.
Collez un PEM que vous avez déjà. Idéal pour les certificats pas encore déployés.
-----BEGIN CERTIFICATE----- MIIFazCCA1OgAwIBAgIRAIIQz7DSQONZRGPgu2OCiwAw DQYJKoZIhvcNAQELBQAwTzELMAkGA1UEBhMCVVMxKTAn … -----END CERTIFICATE-----
Chaque certificat, et la seule chose qui cloche
L’inventaire regroupe par domaine enregistré, si bien que douze certificats de sous-domaines se replient sous le nom auquel vous pensez, et chaque groupe indique combien se renouvellent seuls et combien ne sont surveillés par rien. La colonne qui justifie l’écran est « Demande attention » : pas un code de statut, mais la seule chose qui cloche sur ce certificat, écrite en toutes lettres — découvert mais non surveillé, expiré, non approuvé par les navigateurs. Chaque en-tête de groupe compte combien se renouvellent seuls, et c’est exactement la distinction sur laquelle l’alerte est bâtie : 30, 14, 7, 3 et 1 jour pour ceux que vous renouvelez, le silence jusqu’au dernier jour pour ceux qui se renouvellent seuls.
- Regroupé par domaine, avec par groupe le compte des auto-renouvellements et des non surveillés
- Les certificats auto-renouvelés restent silencieux jusqu’à un jour avant : une alerte signifie que le renouvellement a échoué
- Un certificat dans sa fenêtre d’avertissement n’est pas une panne — pas de faux incident, pas de rouge sur votre page de statut
- Recherche, filtres par source et par usage, un basculement « problèmes seulement », et des vues enregistrées
Ce qu’il protège, et comment vous le savez
Un certificat, c’est une ligne, et cette ligne répond à deux questions. Que couvre-t-il — chaque nom qui y figure, pour qu’un wildcard ou un certificat à cinq SAN cesse de masquer ce dont il est responsable. Et comment le savons-nous — chaque observation est conservée derrière lui, avec la source et la date à laquelle elle a vu ce certificat précis pour la dernière fois. Cette seconde liste est la raison pour laquelle il y a une ligne et non quatre : le même certificat trouvé par votre moniteur, par un scan, par l’API du fournisseur et dans un journal public est rapproché par empreinte, puis par émetteur et numéro de série, et replié en une seule entrée au lieu de quatre choses à renouveler.
- Rapproché par empreinte, puis par émetteur et numéro de série, puis par jeu de SAN pour les lignes de métadonnées seules
- Chaque observation est conservée — vous voyez toujours quelle source l’a vu et quand
- Fusion et séparation à la main pour les cas où le rapprochement se trompe, et une fusion est mémorisée
- Répartition de charge, anycast et multi-cloud restent une entrée, avec chaque hôte listé
Les noms que ce certificat sécurise, et où il est servi.
Hôtes sur lesquels exactement ce certificat a été observé (les déploiements répartis ou multi-cloud se replient en une seule entrée).
Pas encore observé sur un point de terminaison en direct.
- Clé
- ECDSA 256 bits
- Signature
- ECDSA-SHA256
- Numéro de série
- 95D23858
- Observé par · 2 sources
Chaque endroit où InfraNest a vu ce même certificat — imports de fournisseurs, moniteurs en direct, journaux Certificate Transparency et scans manuels se replient tous en une seule entrée.
Tout ce qu’il gère par ailleurs
Les parties qui ne deviennent intéressantes que le jour où vous en avez besoin.
Une ligne par certificat
Le même certificat vu par un moniteur, un scan et une API de fournisseur se réduit à une seule entrée, rapprochée par empreinte, puis par émetteur et numéro de série. Chaque observation est conservée : vous voyez toujours quelle source l’a vu et quand.
Fusionner et séparer à la main
Pour les cas où le rapprochement se trompe. Une fusion est mémorisée : réobserver le certificat ne recrée jamais le doublon.
Là où il est réellement servi
Chaque hôte observé en train de servir un certificat, pour que les déploiements répartis, anycast et multi-cloud restent une entrée avec le tableau complet.
Lignée des renouvellements
Émis, renouvelé, remplacé, expiré — avec une chronologie par certificat. Les séries de renouvellement automatique se replient pour qu’une rotation de 90 jours n’inonde pas la liste ; les lignes remplacées sont conservées comme historique, jamais supprimées.
Coût, par certificat
Un poste annuel à part entière qui alimente le rapport de dépenses. Les certificats d’un émetteur qui ne vend rien sont enregistrés comme gratuits automatiquement, et signalés comme tels.
Il ne devine pas un prix
Pour une AC qui vend à la fois du gratuit et du payant, le prix reste vide plutôt que rempli d’un 0 € erroné — un vide pose la question, un chiffre faux y répond. Ce que vous saisissez l’emporte toujours.
Identité OV et EV
Pour les certificats qui en affirment une : l’organisation et le lieu vérifiés que l’AC a réellement contrôlés, capturés avec le reste.
Liens dans les deux sens
Un domaine liste ses certificats, un moniteur SSL renvoie au certificat qu’il observe, et un certificat renvoie à son moniteur, son domaine, son serveur et ses identifiants.
Voyez vos propres certificats en une minute environ
Collez un nom d’hôte, ou connectez un fournisseur en lecture seule. Rien n’est émis et rien n’est modifié.
Suivre ses certificats à la main vs InfraNest
La différence entre un tableur de renouvellements auquel personne ne se fie et un inventaire qui trouve ceux que vous aviez oubliés.
À la main
- Un tableur périmé la semaine suivant sa création
- Un rappel d’agenda pour les certificats auxquels quelqu’un a pensé
- Un e-mail d’expiration à chaque renouvellement sain, jusqu’à ce que vous filtriez le dossier
- L’intermédiaire manquant qui marche dans votre navigateur et échoue sur un téléphone
- Aucune idée qu’un certificat a été émis pour votre domaine avant que quelqu’un s’en serve
Avec InfraNest
- Six voies qui remplissent un inventaire sans que vous listiez quoi que ce soit
- Une ligne par certificat, avec chaque observation derrière
- Le silence sur un certificat auto-renouvelé jusqu’à l’échec réel du renouvellement
- La chaîne reconstruite, jugée, et l’intermédiaire absent proposé au téléchargement
- Les journaux publics surveillés par domaine face aux émetteurs que vous avez réellement autorisés
Un identifiant, dix modules
Chaque module est dans chaque offre, Free compris — seules les limites changent.
Le coût si vous le faisiez séparément
Chaque brique dans un outil différent, et l’addition grimpe vite :
- Domaine & DNS
- ~30 €
- Monitoring
- ~29 €
- Suivi SSL
- ~15 €
- Page de statut
- ~29 €
- Panel serveur
- ~15 €
- Sur 4–5 outils distincts
- 100–150 €/mois
Questions fréquentes
Comment InfraNest trouve-t-il mes certificats ?
Six voies vers un seul inventaire : les moniteurs SSL que vous exploitez déjà, un scan à la demande de n’importe quel nom d’hôte, les journaux Certificate Transparency, les API de vos fournisseurs et registrars, un point de terminaison d’import PEM en masse pour tout ce qu’un scan public n’atteint pas, et un champ de collage pour le reste. Chacun est rattaché au domaine enregistré auquel il appartient, y compris rétroactivement si vous ajoutez ce domaine plus tard.
Stockez-vous mes clés privées ?
Non, et il n’y a nulle part où en mettre une — l’inventaire est constitué de métadonnées, sans colonne de clé ni colonne PEM. Nous ne stockons jamais une clé privée que nous n’avons pas générée. Quand vous demandez des fichiers déployables, la chaîne et la clé sont récupérées en direct chez votre fournisseur et persistées nulle part : conditionnées au droit d’écriture plutôt que de lecture, limitées en débit, et inscrites nominativement au journal d’audit.
Vais-je recevoir un e-mail à chaque renouvellement Let’s Encrypt ?
Non, et c’est bien l’intérêt. Un certificat qui se renouvelle seul reste silencieux jusqu’à un jour avant : une alerte signifie donc que le renouvellement a réellement échoué. L’escalade à 30, 14, 7, 3 et 1 jour concerne les certificats qu’un humain doit renouveler. Un certificat dans sa fenêtre d’avertissement n’est pas non plus traité comme une panne : votre page de statut publique n’en devient jamais rouge.
Quelles autorités de certification sont prises en charge ?
Toutes. Un scan et un journal public se moquent de savoir qui a émis le certificat : chaque AC est donc inventoriée et évaluée de la même façon — y compris votre propre AC interne, suivie aux côtés des publiques et qui peut figurer sur la liste des émetteurs attendus d’un domaine pour entrer en silence.
InfraNest émet-il ou renouvelle-t-il des certificats ?
Non. L’émission et le renouvellement restent où ils sont — votre AC, votre plateforme, votre client ACME. InfraNest confirme que le nouveau certificat a bien atteint le point de terminaison, et c’est la moitié qui déraille le plus souvent : le cas renouvelé-mais-pas-déployé, où le certificat que vous détenez n’est pas celui qui est servi.
Que se passe-t-il quand le secteur passera à des certificats plus courts ?
Rien que vous ayez à changer. La fenêtre d’avertissement est dérivée de la durée de vie propre à chaque certificat plutôt que d’un nombre de jours fixe : les certificats de 47 jours votés par le CA/Browser Forum suivent donc la même logique que les 398 jours d’aujourd’hui.
Puis-je faire entrer des certificats depuis mes propres outils ?
Oui — collez un PEM, ou faites un POST vers le point de terminaison certificats. L’accès API est cloisonné par les droits de jeton certificates.read et certificates.write, tout est rattaché à l’organisation, et chaque modification est auditée. Il existe aussi des actions d’automatisation : scanner l’hôte d’un certificat et lier un certificat — et les cinq événements de certificat portent l’identifiant du certificat.
Chaque certificat, un seul inventaire
Collez un nom d’hôte et voyez ce qui circule déjà en votre nom.
Offre gratuite · Sans carte bancaire · Configuré en quelques minutes