Certificat SSL et DNSSEC :
tout est-il en ordre ?
Vérifiez gratuitement le certificat SSL/TLS d’un site : validité, date d’expiration, autorité, chaîne, nom couvert, version TLS, HSTS et redirection HTTPS, ainsi que la signature DNSSEC du domaine.
Exemples : google.com wikipedia.org github.com
Un HTTPS bien configuré
Ce que vérifient les navigateurs avant d’afficher le cadenas.
Le certificat du site est signé par une autorité intermédiaire, elle-même signée par une racine connue du navigateur.
Le certificat doit couvrir le nom exact (ou un joker *.domaine) et être dans sa période de validité, 90 jours chez Let’s Encrypt.
TLS 1.2 minimum, idéalement 1.3, avec HSTS pour interdire tout retour en HTTP non chiffré.
Questions fréquentes
Pourquoi mon certificat est-il « non reconnu » ?
Le plus souvent, le serveur n’envoie pas le certificat intermédiaire de l’autorité : les navigateurs ne peuvent alors pas remonter la chaîne. Installez le fichier « fullchain » fourni par votre autorité (Let’s Encrypt le crée automatiquement). Un certificat auto-signé ou expiré est aussi refusé.
Qu’est-ce que HSTS ?
L’en-tête Strict-Transport-Security oblige les navigateurs à toujours utiliser HTTPS pour votre site, même si quelqu’un tape « http:// ». Une durée d’au moins 6 mois (max-age=15552000) est recommandée, et un an pour l’inscription à la liste « preload ».
Comment activer DNSSEC ?
Activez la signature de la zone chez votre hébergeur DNS (Cloudflare, OVHcloud, Gandi… le font en un clic), puis publiez l’enregistrement DS qu’il vous donne chez votre registrar. Si le registrar et l’hébergeur DNS sont la même société, c’est souvent automatique.