Pourquoi un certificat valide peut quand même valoir F

Le cadenas est une promesse étroite

Un navigateur affiche un cadenas quand trois choses tiennent : le certificat remonte à une racine de confiance, il couvre le nom d’hôte visité, et il n’est pas expiré. C’est tout. Rien sur la version de protocole proposée, les chiffrements acceptés, ou la vulnérabilité aux attaques de rétrogradation.

Une note TLS pose une autre question : à quel point ce point d’entrée est-il bien configuré, et pas seulement s’il peut établir une connexion chiffrée.

Six défaillances qui produisent une note basse

Voici les causes que nous voyons le plus souvent parmi les vingt mille sites que nous suivons, grossièrement par ordre de coût.

• •Certificat expiré ou pas encore valide — zéro automatique, quoi qu’il arrive par ailleurs.
• •Nom d’hôte non concordant — le certificat est valide, mais pour un autre nom. Fréquent après une migration de domaine ou quand un CDN sert un certificat partagé sans SNI.
• •Chaîne incomplète — l’intermédiaire manque, certains clients ne peuvent donc pas construire de chemin vers la racine. Les navigateurs le masquent souvent ; les clients API et les piles mobiles non.
• •Protocoles hérités encore actifs — TLS 1.0 ou 1.1 proposés à côté des versions modernes tirent la note vers le bas même si personne ne les utilise.
• •Chiffrements faibles ou absence de confidentialité persistante — l’échange de clés RSA statique signifie qu’une clé privée volée déchiffre le trafic enregistré.
• •Échec de poignée de main — le serveur refuse complètement la sonde, souvent à cause d’exigences SNI strictes ou d’une règle de pare-feu bloquant les clients non navigateurs.

Diagnostiquer dans l’ordre

Commencez par séparer les problèmes de certificat des problèmes de configuration. Si le certificat est expiré ou non concordant, rien d’autre ne compte avant correction. Si le certificat est bon, regardez ensuite la liste des protocoles : c’est le plus gros contributeur à une note basse après la validité du certificat.

Le rapport de domaine sur CertH montre lequel des cinq domaines notés a perdu des points, avec la déduction précise et la correction. C’est généralement plus rapide que de lire un scan complet à la main.

# What does the certificate actually cover?
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName -dates

# Which protocols does the server accept?
for v in tls1 tls1_1 tls1_2 tls1_3; do
  printf '%s: ' "$v"
  echo | openssl s_client -connect example.com:443 -$v -servername example.com 2>/dev/null | grep -q "Protocol" && echo yes || echo no
done

Le piège du SNI

Un serveur hébergeant de nombreux domaines a besoin du SNI pour choisir le bon certificat. Certaines configurations l’exigent et rejettent les clients qui l’omettent — parfait pour les navigateurs, mais cela casse les outils de supervision, les anciens clients Java et certaines bibliothèques API. Si un scanner signale un échec de poignée de main alors que les navigateurs fonctionnent normalement, vérifiez cela en premier.

FAQ