Date d'expiration, jours restants, émetteur et validité de la chaîne pour tout domaine public — sans compte, et rien de ce que vous saisissez ici n'est conservé.
Il ouvre une connexion TLS vers l'hôte que vous indiquez, lit le certificat que cet hôte sert réellement, et rapporte ce qu'un navigateur verrait :
notAfter du
certificat feuille.C'est la même inspection de certificat que nos sondes TLS payantes exécutent, exposée sans compte. Elle s'exécute depuis la France, une requête à la fois, et ne conserve rien : pas d'historique, pas de journal de ce que vous avez consulté, aucun résultat gardé après l'envoi de la réponse.
Tout le monde automatise ses certificats aujourd'hui, et c'est précisément pourquoi les pannes de certificat restent fréquentes. Le renouvellement est invisible jusqu'au jour où il s'arrête silencieusement — le compte ACME s'est fait limiter, le chemin du challenge HTTP-01 est passé derrière une authentification, la tâche cron qui renouvelle est justement celle dont personne n'a vu l'arrêt. Dans tous les cas le certificat continue de fonctionner jusqu'à l'heure où il ne fonctionne plus, et alors tous les navigateurs et tous les clients d'API refusent en même temps.
La défaillance est totale plutôt que progressive. Il n'existe pas de mode dégradé pour un certificat expiré : un site qui allait bien à 9 h 59 est injoignable à 10 h 00, et les premiers à s'en apercevoir sont vos clients. Les parcours de paiement et les applications mobiles avec épinglage de certificat échouent le plus durement, parce qu'ils n'ont aucun bouton « continuer quand même » à cliquer.
Un certificat peut être parfaitement valide et échouer quand même pour la
majeure partie d'internet. La cause habituelle est un intermédiaire manquant :
votre serveur n'envoie que le certificat feuille, votre navigateur a mis
l'intermédiaire en cache il y a des mois et comble le vide silencieusement, et
tous ceux dont le navigateur ne l'a pas fait — plus chaque curl, chaque client
d'API, chaque application mobile — obtiennent une erreur de vérification.
C'est pourquoi cet outil rapporte la chaîne séparément de la date d'expiration. Une expiration au vert avec une chaîne invalide est une panne en cours pour une partie de vos visiteurs en ce moment même, et elle n'apparaîtra pas en chargeant le site dans le navigateur que vous utilisez depuis une semaine.
Le port 443 par défaut. Vous pouvez en indiquer un autre avec example.com:8443,
et une poignée de ports en TLS implicite sont pris en charge — 465 (SMTPS), 636
(LDAPS), 853 (DNS over TLS), 990 (FTPS), 993 (IMAPS), 995 (POP3S), 8443 et 9443.
Les ports STARTTLS comme 25, 143 et 587 ne sont pas vérifiés. Un handshake TLS brut échoue contre eux pour des raisons de protocole, et rapporter cela comme « votre certificat est cassé » serait faux.
Oui, et non. Pas d'inscription, pas de champ e-mail, pas de période d'essai. Le point d'accès est limité en débit par IP pour rester disponible, et c'est sa seule limite.
Non. La vérification est sans état : votre requête produit une connexion TLS et une réponse JSON, et rien n'en est consigné. Comme rien n'est conservé, il n'y a ni historique à parcourir pour vous, ni historique que quiconque pourrait nous demander.
Parce qu'il se connecte à ce que vous nommez depuis notre infrastructure, il ne
résout et ne joint que des adresses publiquement routables. Un nom pointant vers
127.0.0.1, vers l'espace RFC 1918 ou vers une adresse de métadonnées cloud est
refusé avant toute connexion. Si vous devez surveiller un certificat interne, la
réponse est une sonde qui s'exécute dans votre réseau, pas un outil public.
Non — saisissez un nom de domaine. Le SNI a besoin d'un nom, les certificats sont émis pour des noms, et un certificat vérifié sans nom vous renseigne sur l'hôte virtuel qui répond en premier plutôt que sur votre site.
Votre navigateur a un cache et un magasin de confiance façonnés par tous les sites que vous avez visités cette année. Ici, la connexion part de zéro, depuis une machine qui n'a jamais vu votre site — ce qui est bien plus proche de ce que vit un nouveau visiteur ou un client d'API.
Cela signifie que vous êtes tranquille aujourd'hui. Les certificats sont désormais émis pour des semaines plutôt que des années, et l'industrie raccourcit encore — l'intervalle pendant lequel une vérification manuelle reste rassurante ne cesse donc de rétrécir. C'est un argument pour quelque chose qui vérifie en continu, pas pour vérifier plus souvent à la main.
Cette page vous dit l'état d'un certificat à un instant donné. Elle ne peut rien vous dire du renouvellement qui s'arrêtera silencieusement le mois prochain — la défaillance qui fait réellement tomber les sites.
La supervision TLS automatisée observe les mêmes choses selon un calendrier et vous prévient à 30, 14, 7 et 1 jour avant l'expiration — quatre occasions de s'en apercevoir, la première quand c'est encore une entrée d'agenda plutôt qu'un incident. Elle attrape aussi une chaîne invalide le jour où elle apparaît, et surveille l'enregistrement du domaine sous le certificat — l'avis de renouvellement parti vers la boîte de quelqu'un qui a quitté l'entreprise.
Les pannes sont confirmées par une seconde région de sondes européenne indépendante avant que quiconque soit alerté, pour qu'un incident de résolveur dans une région reste un incident de résolveur. Tout s'exécute chez Scaleway avec les données en France, et un DPA est disponible avant que vous le demandiez.
L'offre gratuite couvre 5 sondes et n'expire pas.
Fonctionnement de la supervision TLS et domaines → · Sécurité & données →