Ce que vérifie l’outil
Un navigateur te dit seulement si la connexion fonctionne. Au passage, il complète discrètement les intermédiaires manquants et utilise son propre magasin de certificats, à jour. Les applis, clients mail, Java, curl et anciens smartphones ne le font pas. La vérification SSL montre la chaîne telle que ton serveur l’envoie vraiment.
Certificat du serveur
Sont vérifiés le nom d’hôte par rapport au champ SAN (y compris les jokers comme *.exemple.fr), le début et la fin de validité, la longueur de clé et l’algorithme de signature. S’il reste moins de 30 jours, tu reçois une remarque.
Intermédiaires et ordre
Le serveur doit envoyer son propre certificat et tous les intermédiaires jusqu’à juste sous l’AC racine, dans l’ordre serveur → intermédiaire → intermédiaire suivant. S’il manque un maillon, le site marche souvent quand même dans le navigateur, mais les applis et clients mail signalent « unable to get local issuer certificate ». L’AC racine elle-même n’a pas besoin d’être envoyée.
Le problème des anciens appareils Android
Les AC racines récentes comme GlobalSign Root R46, ISRG Root X2 ou les racines DigiCert G5 ne sont dans le magasin système qu’à partir d’Android 14 (octobre 2023). Android 13 et antérieur ne les connaissent pas. Une AC racine envoyée par le serveur n’est jamais acceptée comme fiable, l’ajouter ne sert donc à rien.
La solution est un certificat croisé : la même AC avec la même clé, mais certifiée par une racine plus ancienne que connaissent aussi les vieux appareils. Si le serveur envoie ce certificat croisé, les anciens appareils trouvent le chemin vers l’ancienne racine et les nouveaux continuent vers la nouvelle. La vérification SSL détecte le problème et, en un clic, le convertisseur de certificats ajoute à ta chaîne le certificat croisé adapté issu de la CCADB de Mozilla.
Serveurs mail et STARTTLS
Pour SMTP (ports 25 et 587), IMAP (143) et POP3 (110), l’outil se connecte d’abord en clair puis passe en TLS via STARTTLS, exactement comme un client mail. Les ports en TLS direct comme 465, 993 et 995 sont chiffrés immédiatement.
Révocation, CAA et DANE
L’outil interroge aussi le statut de révocation du certificat, via OCSP ou la liste de révocation (CRL) de l’AC. Il lit l’enregistrement CAA du domaine et avertit si l’émetteur actuel n’y est pas autorisé, car le prochain renouvellement échouerait. S’il existe un enregistrement TLSA (DANE) pour le port, il vérifie qu’il correspond au certificat servi et qu’il est protégé par DNSSEC. Tu peux créer ces enregistrements avec CAA & DANE.
Réparer la chaîne
- Lance la vérification et clique sur « Réparer dans le convertisseur » ou « Compléter la chaîne dans le convertisseur ».
- Le convertisseur reprend la chaîne, récupère les intermédiaires manquants via AIA et propose les certificats croisés adaptés.
- Ajoute la clé privée et exporte le format dont ton serveur a besoin, p. ex. un bundle PEM pour nginx ou un PFX pour IIS.
- Installe-le sur le serveur, recharge et vérifie à nouveau ici.
FAQ
Pourquoi mon site marche dans le navigateur mais pas dans l’appli ?
Les navigateurs récupèrent souvent eux-mêmes les intermédiaires manquants. Les applis, Java, curl et de nombreux clients mail ne le font pas et abandonnent. La vérification SSL montre si ton serveur envoie la chaîne complète.
Dois-je envoyer l’AC racine ?
Non. Les clients ne font confiance qu’à l’AC racine de leur propre magasin. L’envoyer ne nuit pas, mais coûte quelques centaines d’octets à chaque connexion.
Pourquoi Android 13 refuse-t-il mon certificat ?
Ta chaîne se termine probablement par une AC racine présente seulement à partir d’Android 14, comme GlobalSign Root R46. Un certificat croisé qui certifie la même AC sous une racine plus ancienne règle le problème. Le convertisseur l’ajoute.
Puis-je aussi vérifier des serveurs mail ?
Oui. Choisis le port, p. ex. 587 ou 25 pour SMTP avec STARTTLS, 465 pour SMTPS, 993 pour IMAPS ou 143 pour IMAP avec STARTTLS.
Qu’est-ce qui est enregistré ?
Rien. Le serveur ouvre la connexion, transmet les certificats à ton navigateur puis les oublie. Pour éviter les abus, le nombre de vérifications par période est limité.