Erreurs de certificat SSL : ce qu'elles signifient et comment les corriger

• La plupart des erreurs ont l'une de ces quatre causes : certificat expiré, certificat ne couvrant pas le nom ouvert, certificat intermédiaire manquant ou émetteur auquel le navigateur ne fait pas confiance.
• Les certificats gratuits comme ceux de Let's Encrypt ont une durée courte : le renouvellement automatique est indispensable.
• Depuis le 15 mars 2026, un certificat de confiance publique est valable 200 jours au maximum ; ce sera 100 jours en 2027 et 47 jours en 2029.
• Inspectez le certificat avec la vérification SSL et laissez la Surveillance vous prévenir avant son expiration.

Firefox affiche le même problème sous le code SEC_ERROR_EXPIRED_CERTIFICATE. Les certificats Let's Encrypt sont valables 90 jours et renouvelés automatiquement par un client ACME comme certbot ou par le panneau de l'hébergeur. Le renouvellement échoue souvent en silence : port 80 fermé, DNS déplacé vers un autre serveur, ou serveur web jamais rechargé après l'arrivée du nouveau certificat.

Les règles du CA/Browser Forum raccourcissent la durée des certificats : 398 jours au maximum jusqu'au 15 mars 2026, 200 jours ensuite, 100 jours à partir du 15 mars 2027 et 47 jours à partir du 15 mars 2029. Le renouvellement manuel n'est plus réaliste : automatisez-le avec ACME.

Le serveur doit envoyer son propre certificat accompagné du ou des certificats intermédiaires. Les navigateurs de bureau comblent souvent le manque grâce à leur cache : le site « marche chez moi » mais échoue sur mobile, dans les applications, avec curl ou dans les clients d'API. Installez la chaîne complète : fullchain.pem avec Let's Encrypt, le champ « CA bundle » dans les panneaux d'hébergement. La vérification SSL indique si la chaîne est complète.

Les noms couverts par un certificat figurent dans son champ SAN (Subject Alternative Name) ; Firefox signale cette erreur par SSL_ERROR_BAD_CERT_DOMAIN. Un certificat wildcard comme *.example.fr couvre un seul niveau (boutique.example.fr), ni example.fr lui-même ni a.b.example.fr. Si le site s'ouvre aussi avec www, le certificat doit inclure les deux noms.

• Contenu mixte : une page HTTPS charge des scripts, images ou feuilles de style en http:// ; le cadenas disparaît ou le contenu est bloqué. Passez ces adresses en https://.
• HSTS : une fois qu'un site a envoyé HSTS, les navigateurs empêchent d'ignorer les erreurs de certificat jusqu'à l'expiration de max-age. La solution est de réparer le certificat, pas de désactiver HTTPS.
• CAA : si votre domaine a des enregistrements CAA, seules les AC qui y figurent peuvent émettre des certificats ; si la vôtre manque, le renouvellement échoue.
• Une horloge erronée sur l'appareil fait paraître les certificats expirés ou pas encore valides.
• Les antivirus et proxys d'entreprise qui inspectent le HTTPS présentent leur propre certificat ; l'erreur n'apparaît alors que sur ce réseau ou cet appareil.

• La vérification SSL affiche les dates de validité, les noms couverts, la chaîne, les versions TLS, HSTS, la redirection HTTP→HTTPS et les enregistrements CAA.
• Ajoutez le domaine à la Surveillance : vous recevez un e-mail ou un message Telegram avant l'expiration du certificat et lorsqu'il devient invalide.