Comment fonctionne cette vérification
Scanaris ouvre une connexion TLS vers ton domaine comme le ferait un navigateur et lit le certificat renvoyé par le serveur ainsi que le protocole négocié. Quatre constats peuvent en sortir. Si le site n'est pas servi en HTTPS, sévérité élevée. Si le certificat a déjà expiré, critique. S'il expire dans 15 jours ou moins, élevée ; dans 30 ou moins, moyenne. Et si le serveur accepte de négocier TLS 1.0 ou 1.1, moyenne, parce que ce sont des protocoles retirés que les navigateurs modernes refusent et qui permettent des attaques connues. Les chiffrements et la chaîne de certificats ne sont pas évalués en détail ici ; l'objectif est de repérer ce qui va casser ton site ou le laisser sans chiffrement réel.
Pourquoi c'est important
Un certificat expiré n'est pas un avertissement discret : le navigateur affiche un écran rouge pleine page et la plupart des visiteurs s'en vont. Les processeurs de paiement et les intégrations par API échouent instantanément. Et c'est la panne la plus fréquente de toutes, parce qu'un certificat Let's Encrypt dure 90 jours, que le maximum autorisé aujourd'hui est de 398 et que l'industrie a convenu de le ramener à 47 jours d'ici 2029 : sans renouvellement automatique, tôt ou tard il expire un week-end. Les vieux protocoles sont l'autre problème : un serveur qui accepte TLS 1.0 permet à un attaquant sur le même réseau de forcer cette version et de déchiffrer le trafic.
Comment corriger
Certificat expiré ou sur le point d'expirer
- Sur Vercel, Netlify, Cloudflare, Railway ou Render, le certificat est émis et renouvelé tout seul. Si tu vois ce constat là, c'est presque toujours que le domaine pointe ailleurs ou que la vérification du domaine a échoué : vérifie les enregistrements DNS dans le tableau de bord.
- Sur ton propre serveur, utilise un client ACME (certbot ou celui de ton panneau) avec renouvellement planifié et vérifie que la tâche est active :
certbot renew --dry-runne doit donner aucune erreur. - Mets une alerte externe. Le renouvellement automatique échoue en silence quand le DNS change ou qu'un jeton expire. Scanaris te prévient par e-mail à 30, 14 et 3 jours.
Protocoles obsolètes
En nginx : ssl_protocols TLSv1.2 TLSv1.3;. En Apache : SSLProtocol -all +TLSv1.2 +TLSv1.3. Sur un équilibreur AWS ou Google, choisis une politique de sécurité moderne. Les plateformes gérées le font déjà.
Pas de HTTPS
Active le certificat chez ton hébergeur (c'est généralement une case à cocher) puis la redirection de HTTP vers HTTPS, que mesure la vérification redirection HTTPS.
Vérifie que c'est corrigé
echo | openssl s_client -connect tondomaine.com:443 -servername tondomaine.com 2>/dev/null | openssl x509 -noout -dates
echo | openssl s_client -connect tondomaine.com:443 -servername tondomaine.com -tls1_1 2>&1 | grep -iE "alert|error|no protocols" | head -1La première commande affiche la date d'expiration ; la seconde tente une connexion en TLS 1.1 et doit échouer. Ce que signifie chaque partie de la note TLS est dans ce que signifie vraiment ta note TLS.
Questions fréquentes
Mon hébergeur renouvelle tout seul. Pourquoi cet avertissement ?
Parce que quelque chose a échoué dans ce renouvellement : un enregistrement DNS modifié, un domaine qui ne pointe plus vers la plateforme ou une limite d'émission. Ouvre le tableau de bord de l'hébergeur et regarde l'état du certificat du domaine.
Un certificat gratuit est-il moins bon ?
Non. Il chiffre exactement comme un payant. Les payants ajoutent une validation de l'organisation ou des garanties, pas plus de sécurité dans la connexion.
Dois-je désactiver TLS 1.2 aussi ?
Non. TLS 1.2 bien configuré reste sûr et nécessaire pour certains clients. Ce qu'il faut retirer, c'est 1.0 et 1.1.