Erreurs de certificat SSL, expliquées et corrigées
En bref : une erreur de certificat signifie que le navigateur n’a pas pu confirmer qu’il communique bien avec votre site. Les causes habituelles sont un certificat expiré (ERR_CERT_DATE_INVALID), un certificat qui ne mentionne pas le nom de domaine exact (ERR_CERT_COMMON_NAME_INVALID), un certificat intermédiaire manquant ou un certificat auto-signé (ERR_CERT_AUTHORITY_INVALID), ou un serveur qui ne parle que d’anciennes versions de TLS. Une commande openssl indique laquelle ; la correction se fait presque toujours sur le serveur, et le renouvellement automatique évite la plupart d’entre elles.
Étapes rapides
- Lisez le certificat depuis l’extérieur. Vérifiez ses dates, ses noms et sa chaîne avec openssl.
- Associez l’erreur à sa cause. Expiré, mauvais nom, chaîne non fiable ou problème de protocole.
- Corrigez sur le serveur. Renouvelez, réémettez avec tous les noms d’hôte, ou installez la chaîne complète.
- Autorisez TLS 1.2 et 1.3. Désactivez TLS 1.0 et 1.1 et vérifiez que les clients modernes peuvent se connecter.
- Automatisez le renouvellement. Les certificats durent désormais 200 jours au maximum, bientôt 100 : le renouvellement doit être automatique.
Le code et la configuration restent en anglais.
D’abord : regardez le certificat depuis l’extérieur
Le navigateur affiche le code d’erreur sous l’avertissement (cliquez sur Paramètres avancés). Lisez ensuite ce que votre serveur envoie réellement. Cette commande montre pour qui est le certificat, qui l’a émis, ses dates et chaque nom d’hôte couvert :
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null \
| openssl x509 -noout -subject -issuer -dates -ext subjectAltNameEt celle-ci montre la chaîne et si elle est validée (cherchez Verify return code: 0 (ok)) :
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null \
| grep -E '^ *[0-9]+ s:|Verify return code'NET::ERR_CERT_DATE_INVALID : expiré (ou horloge déréglée)
La date notAfter du certificat est dépassée ou, si un seul visiteur la voit, l’horloge de son appareil est fausse. Renouvelez le certificat et rechargez le serveur web. Si vous utilisez Certbot, vérifiez que le renouvellement automatique s’exécute vraiment :
sudo certbot renew --dry-run
systemctl list-timers | grep -i certbot
sudo systemctl reload nginx # or: sudo systemctl reload apache2Le renouvellement n’est plus une tâche annuelle. Selon les règles du CA/Browser Forum, les certificats publics émis à partir du 15 mars 2026 sont valables 200 jours au maximum ; à partir du 15 mars 2027, la limite est de 100 jours, et à partir du 15 mars 2029, de 47 jours. Le renouvellement manuel ne suivra pas : utilisez les certificats automatiques de votre hébergeur ou un client ACME comme Certbot.
NET::ERR_CERT_COMMON_NAME_INVALID : mauvais nom
Le certificat est valide, mais pas pour le nom affiché dans la barre d’adresse. Comparez l’adresse avec la liste subjectAltName de la première commande. Causes typiques : le certificat couvre yourdomain.com mais pas www.yourdomain.com ; un nouveau sous-domaine a été ajouté sans certificat ; ou le serveur envoie le certificat d’un autre site sur la même adresse IP (le site par défaut). Réémettez le certificat avec tous les noms utilisés :
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com --expandSi les noms sont corrects mais que vous recevez toujours le certificat d’un autre site, vérifiez que le bloc server ou le virtual host de ce domaine a ses propres lignes de certificat et le bon server_name.
NET::ERR_CERT_AUTHORITY_INVALID : émetteur non reconnu ou chaîne cassée
Soit le certificat est auto-signé (acceptable pour des tests, jamais pour un site public), soit le serveur n’envoie que votre certificat, sans le certificat intermédiaire qui le relie à une racine de confiance. Certains navigateurs de bureau comblent eux-mêmes ce manque : le site peut donc fonctionner chez vous et échouer sur mobile ou dans d’autres outils. Configurez toujours le fichier de chaîne complète :
# nginx
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
# Apache 2.4.8+
SSLCertificateFile /etc/letsencrypt/live/yourdomain.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/yourdomain.com/privkey.pem
SSLProtocol -all +TLSv1.2 +TLSv1.3Avec un certificat acheté auprès d’un fournisseur commercial, téléchargez la version « full chain » ou « bundle » et utilisez-la à la place du fichier de certificat seul.
ERR_SSL_PROTOCOL_ERROR et ERR_SSL_VERSION_OR_CIPHER_MISMATCH
Le navigateur et le serveur n’ont pas réussi à s’accorder sur un protocole. Causes fréquentes : le serveur ne propose que TLS 1.0 ou 1.1, que les navigateurs actuels n’acceptent plus ; le port 443 répond en HTTP non chiffré ; ou le certificat et la clé ne correspondent pas. Testez les versions acceptées par votre serveur :
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -tls1_2 </dev/null 2>/dev/null | grep -E 'Protocol|Cipher'
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -tls1_3 </dev/null 2>/dev/null | grep -E 'Protocol|Cipher'Les deux doivent afficher un protocole et une suite de chiffrement. Le SSL Configuration Generator de Mozilla fournit une configuration actuelle et éprouvée pour nginx, Apache et d’autres serveurs.
Erreur Cloudflare 526 et boucles de redirection
Avec Cloudflare devant votre site, il y a deux certificats : celui de Cloudflare pour les visiteurs, et celui de votre serveur pour la connexion depuis Cloudflare. En mode Full (strict), l’erreur 526 signifie que le certificat de votre serveur est invalide ou expiré ; renouvelez-le ou installez un Cloudflare Origin Certificate gratuit. Évitez le mode Flexible : la connexion vers votre serveur n’est pas chiffrée et, combinée à une redirection HTTPS sur le serveur, elle provoque ERR_TOO_MANY_REDIRECTS.
Quand le problème vient du visiteur
- Une date ou une heure erronée sur l’appareil produit des erreurs de date sur tous les sites.
- Un antivirus ou l’« inspection HTTPS » d’une entreprise remplace les certificats et peut déclencher des erreurs d’émetteur.
- Les pages de connexion des Wi-Fi publics interceptent la première requête HTTPS jusqu’à ce que le visiteur se connecte.
Si une seule personne voit l’erreur et que les vérifications openssl ci-dessus sont propres, c’est probablement l’un de ces cas.
Ce que vérifie HackGrade
L’analyse gratuite vérifie que votre certificat est reconnu, avertit quand il expire dans moins de trois semaines, et signale les anciennes versions de TLS et l’absence de redirection HTTP vers HTTPS. Les offres Site, Business et Agency répètent l’analyse chaque semaine et envoient une alerte quand quelque chose change. Plus de contexte dans Mon certificat SSL est-il bien configuré ?
Questions fréquentes
Comment corriger NET::ERR_CERT_DATE_INVALID ?
Renouvelez le certificat et rechargez le serveur web. Si cela se reproduit, le renouvellement automatique ne fonctionne pas : lancez « certbot renew --dry-run » ou vérifiez votre espace d’hébergement. Si un seul visiteur la voit, l’horloge de son appareil est probablement fausse.
Pourquoi mon site fonctionne sur mon ordinateur mais affiche une erreur de certificat sur mobile ?
En général, le certificat intermédiaire manque. Certains navigateurs de bureau le récupèrent eux-mêmes, beaucoup d’autres clients non. Configurez la chaîne complète (fullchain.pem ou le bundle du fournisseur).
Puis-je dire aux visiteurs de cliquer sur « Continuer quand même » ?
Non. L’avertissement existe parce que la connexion ne peut pas être vérifiée, et habituer vos clients à l’ignorer les met en danger. Corrigez le certificat.
Combien de temps les certificats SSL sont-ils valables aujourd’hui ?
Les certificats publics émis depuis le 15 mars 2026 durent 200 jours au maximum. La limite passe à 100 jours le 15 mars 2027 et à 47 jours le 15 mars 2029 : le renouvellement doit donc être automatique.