SSL Checker
SSL Checker ouvre une connexion TLS vers le serveur, lit le certificat présenté et la chaîne jusqu'à l'autorité racine, puis vérifie que le nom demandé figure dans les noms couverts (SAN). Il compte les jours restants avant expiration et relève la taille de la clé. Il négocie ensuite TLS 1.0, 1.1, 1.2 et 1.3 séparément, une connexion par version, pour savoir lesquelles le serveur accepte réellement. Le test porte sur le port 443 par défaut, et sur les ports TLS courants de la messagerie et de l'annuaire (465, 993, 995, 636), de DNS sur TLS (853) et sur 8443.
5 EUR
par mois
6
fonctionnalités incluses
24/7
disponibilité en ligne
- Sujet, émetteur, noms couverts (SAN), numéro de série et empreinte SHA-256
- Chaîne de certification complète, du certificat du site à la racine
- Dates de validité et nombre de jours avant expiration
- Versions TLS 1.0 à 1.3 négociées une par une
- Suite de chiffrement et protocole applicatif (ALPN) négociés
- Constats classés : chaîne non reconnue, nom non couvert, échéance proche, version obsolète
- « Certificat valide et reconnu » signifie trois choses à la fois : la chaîne remonte à une autorité connue des navigateurs, le nom saisi figure dans les noms couverts et la date du jour est dans la période de validité.
- Les jours restants sont comptés jusqu'à la date « Valide jusqu'au », en UTC. Un certificat Let's Encrypt dure aujourd'hui 90 jours et se renouvelle d'ordinaire 30 jours avant l'échéance : sous ce seuil, vérifiez la tâche de renouvellement.
- Dans « Versions TLS acceptées », « Acceptée » veut dire que le serveur a terminé une négociation limitée à cette seule version. « Refusée » veut dire qu'il l'a rejetée. « Indéterminée » signale un délai dépassé ou une version que notre bibliothèque TLS ne sait plus proposer.
- TLS 1.0 ou 1.1 accepté est signalé : la RFC 8996 les a déclarés obsolètes en mars 2021 et les navigateurs ne les proposent plus.
- « Chaîne incomplète » indique le plus souvent que le serveur n'envoie pas le certificat intermédiaire : ajoutez-le au fichier de chaîne (fullchain) de la configuration.
- SSL 2.0 et SSL 3.0 ne sont pas testés : les bibliothèques TLS actuelles ne savent plus les négocier.
- La confiance est évaluée avec le magasin d'autorités de Node.js, issu de celui de Mozilla. Un poste d'entreprise qui ajoute sa propre autorité peut donner un autre verdict.
- La révocation (CRL, OCSP) n'est pas interrogée : un certificat révoqué mais non expiré apparaît valide.
- Les suites de chiffrement ne sont pas toutes énumérées : seule celle retenue pour chaque version est affichée.
- Le test vise une seule adresse IP du nom de domaine. Derrière un équilibreur de charge, une autre machine peut présenter un autre certificat.
- Les adresses internes ou privées sont refusées, et seuls les ports TLS listés sont acceptés.
Outil Premium
Accès avec un abonnement Premium à 5 euros/mois
Questions fréquentes
Certains navigateurs complètent eux-mêmes une chaîne incomplète, à partir d'un cache ou de l'adresse de l'émetteur inscrite dans le certificat. Les applications mobiles, les scripts et beaucoup de clients API ne le font pas et refusent la connexion. Servir la chaîne complète règle le problème pour tous.
Oui. La RFC 8996 les a déclarés obsolètes en 2021 et les navigateurs majeurs les ont retirés en 2020. Garder TLS 1.2 et TLS 1.3 suffit pour les clients en service. Dans Nginx, la directive est ssl_protocols TLSv1.2 TLSv1.3.
Le nom saisi n'apparaît ni dans le champ SAN ni sous forme de joker compatible (*.exemple.fr couvre www.exemple.fr mais ni exemple.fr ni a.b.exemple.fr). Ajoutez le nom manquant lors de la prochaine émission du certificat.
Oui, pour le TLS implicite : 465 (SMTP), 993 (IMAP), 995 (POP3). Les ports qui démarrent en clair puis passent à TLS par STARTTLS, comme 25 et 587, ne sont pas pris en charge par cet outil.
Outils complémentaires
Complétez votre analyse avec ces outils connexes.
HTTP Headers Analyzer
RéseauPremiumAnalysez les en-têtes HTTP d'un site : score sur 100, en-têtes de sécurité manquants, attributs de chaque cookie et directives faibles de la CSP.
security.txt
SécuritéPremiumVérifiez le fichier security.txt d'un domaine selon la RFC 9116 (Contact, Expires, HTTPS, Content-Type, signature) ou générez-en un dans votre navigateur.
Redirect Tracer
RéseauPremiumSuivez chaque redirection d'une URL jusqu'à la page finale, avec le code HTTP, l'en-tête Location, la durée et les en-têtes renvoyés à chaque étape.
Subdomain Finder
RéseauPremiumDécouvrez les sous-domaines d'un site web et cartographiez sa surface d'attaque : résolution IP, statut HTTP, détection de technologies et export CSV.