À propos de CertH
What CertH scans, how grades are computed, where the leaderboard comes from — and what we never do.
CertH est un bilan de santé public de la configuration TLS/SSL de n'importe quel domaine : à partir d'un simple handshake standard, il produit un score de 0 à 100 et une note de A+ à F, et suit leur évolution dans un classement public. Aucune inscription pour scanner, aucun accès serveur pour suivre.
Comment nous scannons
Nous ne faisons que ce à quoi tout serveur TLS répond déjà : envoyer un ClientHello sur le port 443, lire la chaîne de certificats renvoyée ainsi que la version de protocole et la suite de chiffrement négociées. Aucun agent installé, aucune connexion au serveur, aucune clé privée touchée, aucun contenu de page aspiré. Pour éviter les biais d'un seul fingerprint client, plusieurs variantes de ClientHello sont essayées et le résultat le plus complet est conservé.
Comment la note est calculée
Le score est pondéré à partir du résultat du handshake : support résiduel de TLS 1.0/1.1, support de TLS 1.3, robustesse de la suite négociée, algorithme de clé et de signature, validité restante, correspondance du nom d'hôte et longueur de chaîne. Selon la sémantique SSL Labs, HSTS et l'agrafage OCSP ne réduisent pas le score de base — ils déterminent seulement si A+ est atteignable ; un certificat expiré vaut 0 et F. Chaque pénalité est justifiée et vérifiable point par point.
| Grade | Score | Meaning |
|---|---|---|
| A+ | ≥95 | Excellent |
| A | ≥90 | Bon |
| B | ≥80 | À améliorer |
| C | ≥70 | Mauvais |
| D | ≥55 | Très mauvais |
| F | <55 | Échec |
A+ exige en plus : le support de TLS 1.3 et un HSTS effectif (max-age ≥ 180 jours ou preload) ; un certificat expiré est noté 0 et F directement.
Le classement
Le classement est alimenté par les domaines du Tranco Top 20 000. Un nœud de scan dédié les reteste chaque jour, écrit le résultat dans l'historique des instantanés et classe chaque domaine parmi 12 secteurs et 20 régions. Outre le classement général, il existe des listes dynamiques — plus fortes hausses, expirations proches, nouveautés — ainsi que des sous-classements par note. Tout est public, sans connexion.
Badges & API
Chaque domaine peut générer un badge SVG — quatre styles : carte émetteur, carte de tendance sur 30 jours, capsule dépolie et capsule de marque — avec thème clair/sombre et score optionnel, mis en cache une heure en périphérie, prêt à intégrer dans un README, une page de statut ou un tableau de bord. L'API publique fournit scans instantanés, historique des scores et données du classement sans authentification.
Gratuit, ouvert et nos limites
CertH est maintenu par l'équipe CSR.plus et repose sur l'offre gratuite de Cloudflare plus un nœud de scan auto-hébergé ; scans publics, classement et badges sont gratuits et sans compte. Notre limite, explicitement : CertH évalue la configuration de la couche transport. Ce n'est ni un test d'intrusion ni une certification de conformité. Les systèmes critiques méritent un audit complet, et un A+ ici n'autorise aucun relâchement ailleurs.
