Vérifier le certificat SSL de votre site en ligne
Vérifier un certificat SSL revient à contrôler trois choses : qu’il existe, qu’il est valide aujourd’hui, et qu’il couvre bien l’adresse que vos visiteurs tapent. Un seul de ces points en défaut suffit à faire apparaître un avertissement rouge en plein écran, au moment exact où un client s’apprêtait à commander.
Gratuit, sans inscription, résultat en moins d’une minute.
Ce que le cadenas prouve, et ce qu’il ne prouve pas
Quand un navigateur ouvre votre site en HTTPS, il demande au serveur de présenter un certificat. Ce fichier contient le nom de domaine couvert, une date de début et de fin de validité, une clé publique et la signature d’une autorité de certification. Le navigateur vérifie que cette signature remonte, de proche en proche, jusqu’à une autorité qu’il connaît déjà.
Ce mécanisme prouve deux choses : la communication est chiffrée, et vous parlez bien au serveur qui détient le domaine affiché dans la barre d’adresse. Il ne prouve rien d’autre. Un site frauduleux peut obtenir un certificat gratuit en quelques minutes ; le cadenas ne certifie ni le sérieux de l’entreprise, ni la sécurité du code, ni la protection de vos données une fois arrivées sur le serveur.
Pourquoi le navigateur affiche « Non sécurisé »
Le message ne vient pas toujours d’un certificat absent. Cinq causes distinctes produisent le même avertissement, et le remède diffère à chaque fois.
- Certificat expiré : la date de fin est dépassée. Cause la plus fréquente, et la plus évitable.
- Nom non couvert : le certificat vaut pour
exemple.cmmais le visiteur arrive surwww.exemple.cm, ou l’inverse. - Chaîne incomplète : le serveur envoie votre certificat sans le certificat intermédiaire. Le navigateur du bureau s’en accommode parfois, le téléphone rarement.
- Autorité inconnue : certificat auto-signé, généré à la main sur le serveur. Utilisable en test, jamais en production.
- Contenu mixte : la page est servie en HTTPS mais appelle des images ou des scripts en HTTP. Le cadenas disparaît sans qu’aucune date ne soit en cause.
Notre analyse distingue ces cinq cas, ce qui évite de renouveler un certificat encore valide alors que le problème venait d’une chaîne incomplète.
Vérifier un certificat SSL : les points contrôlés
Le test se connecte à votre serveur exactement comme le ferait un navigateur, puis lit le certificat présenté. Il vous restitue :
- l’autorité émettrice et la date d’expiration, avec le nombre de jours restants ;
- la liste complète des noms couverts, sous-domaines et jokers compris ;
- l’état de la chaîne de certification, intermédiaires inclus ;
- les versions du protocole acceptées par le serveur, TLS 1.2 et TLS 1.3 étant les seules encore recommandées ;
- le comportement de la redirection HTTP vers HTTPS et la présence de l’en-tête HSTS.
Une analyse complète depuis la page d’accueil ajoute à ce tableau les en-têtes de sécurité, la configuration de messagerie et les temps de réponse : le certificat n’est qu’une pièce du dossier.
L’expiration, la panne la plus prévisible du web
Un certificat Let’s Encrypt vit quatre-vingt-dix jours. Les certificats payants sont passés d’un an à treize mois maximum, et la tendance générale va vers des durées encore plus courtes. Autrement dit : le renouvellement manuel n’est plus tenable.
Le renouvellement automatique est aujourd’hui la règle sur un hébergement correctement configuré. Il échoue pourtant dans trois situations précises, qu’il vaut mieux connaître avant de les subir :
- le domaine a été pointé ailleurs, et la validation ne trouve plus le serveur qu’elle interroge ;
- une règle de réécriture bloque l’accès au dossier de validation
/.well-known/; - un pare-feu ou un service de filtrage placé devant le site intercepte la requête de validation.
Surveiller la date d’expiration coûte une minute par mois. Une boutique inaccessible un samedi coûte beaucoup plus cher, d’autant que les avertissements de sécurité font fuir même les visiteurs qui vous connaissent.
HTTPS ne suffit pas : redirection, HSTS et contenu mixte
Installer un certificat ne met pas votre site en HTTPS pour autant. Trois réglages complètent le travail.
La redirection permanente. Toute requête en http:// doit répondre par un code 301 vers l’adresse https:// équivalente. Sans cela, deux versions de votre site coexistent : les moteurs de recherche partagent votre popularité entre les deux, et les visiteurs arrivent au hasard sur l’une ou l’autre.
L’en-tête HSTS. Il demande au navigateur de n’utiliser que HTTPS pour votre domaine pendant une durée donnée, même si l’utilisateur tape l’adresse sans préfixe. Cela supprime la toute première requête en clair, celle qu’un réseau Wi-Fi malveillant peut détourner. Activez-le seulement quand votre HTTPS est stable : il est difficile à annuler.
Le contenu mixte. Après une migration, il reste souvent des images, des polices ou des scripts appelés en HTTP dans la base de données. Un remplacement d’adresses dans le contenu règle le problème en une opération.
Certificat gratuit ou payant : que choisir au Cameroun
Un certificat Let’s Encrypt offre exactement le même niveau de chiffrement qu’un certificat vendu plusieurs dizaines de milliers de francs. La différence tient à la vérification faite avant émission, pas à la solidité du cadenas.
| Type | Ce qui est vérifié | Usage adapté |
|---|---|---|
| Validation de domaine | Le contrôle du domaine, automatiquement. | Sites vitrines, blogs, boutiques, applications métier. |
| Validation d’organisation | L’existence légale de l’entreprise. | Institutions et grands comptes qui affichent leur identité. |
| Validation étendue | Un contrôle juridique approfondi. | Banques et assurances, sur exigence interne. |
Pour l’immense majorité des sites camerounais, un certificat gratuit renouvelé automatiquement est le bon choix — à condition que le renouvellement fonctionne réellement. C’est ce que garantit un hébergement web au Cameroun où le SSL est posé et reconduit par la plateforme elle-même. Si votre certificat est valide mais que votre site reste lent, poursuivez avec le test de vitesse de votre site : le chiffrement ajoute une poignée de millisecondes, jamais des secondes.
Questions fréquentes
Mon certificat est valide mais Chrome affiche quand même un avertissement, pourquoi ?
Trois explications couvrent presque tous les cas. Le certificat ne couvre pas la variante de l’adresse utilisée, avec ou sans www. La chaîne intermédiaire n’est pas envoyée par le serveur, ce qui passe sur un ordinateur mais échoue sur mobile. Ou la page charge encore des ressources en HTTP, ce qui supprime le cadenas. Le test identifie lequel des trois s’applique à votre domaine.
Un certificat gratuit est-il moins sûr qu’un certificat payant ?
Non, le chiffrement est identique : mêmes algorithmes, mêmes longueurs de clés, même niveau de protection des données en transit. Ce que vous payez dans un certificat commercial, c’est la vérification de votre identité juridique et, parfois, une garantie financière. Pour un site vitrine ou une boutique, un certificat Let’s Encrypt renouvelé automatiquement convient parfaitement et évite l’oubli d’échéance.
Que se passe-t-il si mon certificat expire pendant le week-end ?
Le navigateur affiche une page d’avertissement occupant tout l’écran, que le visiteur doit contourner manuellement. La quasi-totalité des visiteurs abandonne à cet instant. Les applications mobiles et les paiements en ligne, eux, refusent purement et simplement la connexion. Rien n’est perdu définitivement : dès le nouveau certificat installé, le site redevient normal en quelques secondes, sans délai de propagation.
Faut-il un certificat séparé pour chaque sous-domaine ?
Pas nécessairement. Un certificat peut couvrir plusieurs noms explicites, par exemple le domaine et sa version www, ou utiliser un joker qui couvre tous les sous-domaines d’un même niveau. La plupart des hébergements émettent automatiquement un certificat par domaine et sous-domaine créé, ce qui rend la question transparente tant que chaque nom pointe bien vers le serveur.
Le HTTPS influence-t-il mon référencement sur Google ?
Oui, mais modérément et depuis longtemps : HTTPS est un signal de classement léger. L’effet réel est indirect et bien plus important. Un avertissement de sécurité fait fuir les visiteurs, ce qui dégrade les signaux d’engagement. Une redirection mal faite duplique votre site en deux versions concurrentes. Un HTTPS propre supprime ces deux handicaps avant même de parler de contenu.
Votre site mérite-t-il mieux que son hébergement actuel ?
CCN Technologies héberge et sécurise sites et messageries depuis Yaoundé : HTTP/2, en-têtes de sécurité posés par défaut, SSL automatique, isolation CloudLinux, sauvegardes quotidiennes et une équipe joignable dans votre fuseau horaire.