Certificat SSL, c’est quoi ? Le lire dans son navigateur
Ni cadenas, ni gage de sérieux : ce que contient vraiment ce fichier, et ce qu’il ne prouve pas.
Un certificat SSL est un fichier posé sur le serveur d’un site, qui associe un nom de domaine à une clé cryptographique et porte la signature d’un organisme tiers. Il permet de chiffrer la connexion et atteste que le serveur contrôle bien le domaine affiché. Il ne dit rien de l’honnêteté du site : c’est précisément pour cette raison que Chrome a remplacé son cadenas par une icône de réglages en 2023.
- Ce qu’il contient : un domaine, une clé publique, la signature d’une autorité de certification.
- Ce qu’il protège : le trajet entre votre appareil et le site, pas la destination.
- En trois clics : n’importe quel visiteur peut l’ouvrir et vérifier à qui il a été délivré.
- Sa durée de vie : elle se raccourcit d’année en année, deux cents jours maximum depuis mars 2026.
Un certificat SSL, c’est quoi au juste
C’est un fichier. Un petit fichier posé sur le serveur qui héberge un site, et que votre navigateur télécharge avant même d’afficher la première image de la page.
Il contient trois choses : un nom de domaine, une clé cryptographique publique, et la signature d’un organisme tiers qui affirme avoir vérifié le lien entre les deux. C’est cette signature qui fait toute la différence avec un fichier que n’importe qui pourrait fabriquer dans son coin.
Concrètement, il sert à deux choses. Il permet d’établir une connexion chiffrée, de sorte que ce qui circule entre votre appareil et le site — mot de passe, numéro de carte, contenu d’un formulaire — reste illisible pour qui intercepterait le trafic au passage. Et il atteste que le serveur au bout du fil est bien celui qui contrôle le domaine affiché dans la barre d’adresse.
Un mot sur le vocabulaire, parce qu’il embrouille tout le monde : on dit « SSL » par habitude, mais le protocole réellement utilisé aujourd’hui s’appelle TLS. SSL est son ancêtre, retiré du service depuis des années. Le nom est resté dans le langage courant, y compris chez les professionnels.
Pourquoi le cadenas a disparu de votre navigateur
Pendant vingt ans, un petit cadenas a symbolisé la connexion sécurisée. Beaucoup de gens l’ont lu comme un label de sérieux : cadenas égale site fiable.
C’est faux, et c’est justement pour cette raison que Google a retiré ce symbole. À partir de la version 117 de Chrome, en septembre 2023, le cadenas a laissé place à une icône de réglages, faite de traits et de curseurs. L’argument avancé était simple : la quasi-totalité des sites d’hameçonnage utilisent eux aussi le HTTPS, donc affichaient eux aussi un joli cadenas. Le symbole rassurait au mauvais endroit.
L’autre motif était plus prosaïque : presque personne ne cliquait sur le cadenas. En le remplaçant par une icône qui ressemble à un bouton de réglages, le navigateur invite à ouvrir le panneau où se trouvent les autorisations du site, les cookies, et l’accès au certificat. Les autres navigateurs ont chacun leur variante d’icône, avec des libellés différents, mais l’élément cliquable à gauche de l’adresse ouvre partout les informations de connexion.
Ouvrir un certificat et lire ses champs
La manipulation ne demande aucune compétence technique, et elle prend moins de temps que la lecture de ce paragraphe.
-
Cliquer sur l’icône à gauche de l’adresse
Selon le navigateur, c’est un cadenas, une icône de réglages ou un simple bouton d’information. Un panneau s’ouvre avec les autorisations accordées au site.
-
Ouvrir les informations de connexion
L’entrée s’appelle « connexion sécurisée », « la connexion est sécurisée » ou « sécurité de la connexion » selon les cas. Elle mène à un second niveau de détail.
-
Demander les détails du certificat
Une fenêtre s’ouvre, avec des onglets et une liste de champs. C’est le certificat lui-même, tel que votre navigateur l’a reçu du serveur.
-
Comparer le champ « émis pour » à l’adresse
Le domaine indiqué doit correspondre exactement à celui de la barre d’adresse. Une lettre de différence, et vous n’êtes pas sur le site que vous croyez.
Le champ émis pour est donc le premier à regarder. Un certificat parfaitement valide, émis pour un domaine voisin écrit avec une lettre substituée, est la signature classique d’une page d’hameçonnage : tout y est vert, sauf l’adresse.
Le champ émis par nomme l’autorité de certification qui a signé. Vous n’avez pas à connaître ces noms par cœur. En revanche, sur un site bancaire ou administratif, un émetteur inhabituel se recoupe en trente secondes : ouvrez le même site depuis une autre connexion, un autre appareil, et comparez. Si l’émetteur change, c’est votre réseau qui inspecte le trafic, pas le site qui a changé d’autorité.
La période de validité donne deux dates. Elle est plus courte qu’avant, et elle va continuer de raccourcir : le plafond est passé à deux cents jours en mars 2026, avec cent jours prévus pour mars 2027 et quarante-sept jours à l’horizon 2029, selon le calendrier adopté par l’organisme qui réunit éditeurs de navigateurs et autorités de certification. L’idée derrière cette réduction : un certificat compromis reste dangereux moins longtemps.
Les autres noms de domaine listent tout ce que le même certificat couvre — sous-domaines, variantes d’adresse, parfois une famille entière. L’empreinte, enfin, identifie ce fichier précis : elle sert à comparer, caractère par caractère, le certificat reçu avec celui qu’un service publie de son côté. C’est une vérification d’expert, rarement utile au quotidien.
Cette lecture complète est une manipulation d’ordinateur. Sur mobile, les navigateurs affichent au mieux un résumé de la connexion, sans détail des champs, et parfois rien du tout. Ce qui reste vérifiable sur un téléphone, et qui compte le plus : l’adresse exacte, en dépliant la barre pour voir le domaine en entier plutôt que sa version tronquée.
La chaîne de confiance
qui répond de qui
Votre navigateur ne fait pas confiance au certificat d’un site parce qu’il est joli. Il remonte une chaîne, maillon par maillon, jusqu’à un point de départ installé d’avance sur votre appareil.
Le certificat racine
Il appartient à une poignée d’autorités et se trouve déjà sur votre appareil, dans le magasin de certificats. Le système d’exploitation en gère un, et certains navigateurs, Firefox notamment, maintiennent le leur en parallèle. Une racine ne signe jamais directement un site.
Le certificat intermédiaire
Signé par la racine, il sert de relais et signe à son tour les certificats des sites. C’est lui qui manque quand un serveur est mal configuré : le navigateur reçoit alors une chaîne incomplète et refuse de conclure.
Le certificat du site
C’est celui que vous ouvrez depuis la barre d’adresse. Il n’a de valeur que si les deux maillons au-dessus tiennent. Si tout remonte jusqu’à une racine connue, la page s’affiche sans un mot.
Cette architecture explique deux situations agaçantes du quotidien. Un site peut afficher une erreur uniquement sur un appareil ancien, dont le magasin de racines n’a pas été mis à jour depuis longtemps. Et un réseau d’entreprise, comme certains antivirus qui inspectent le trafic chiffré, installe sa propre racine sur les postes : là, tout fonctionne, mais l’autorité affichée dans le certificat n’est plus celle attendue.
Décoder les messages d’erreur les plus courants
Un avertissement de certificat n’est pas toujours le signe d’une attaque. Dans la vraie vie, la cause la plus fréquente est une négligence d’exploitation ou un réglage local. Trois familles d’alertes couvrent l’essentiel des cas.
| Type d’alerte | Causes probables | Réflexe |
|---|---|---|
| Certificat expiré ou pas encore valide | Renouvellement oublié côté site, ou horloge de votre appareil déréglée | Vérifier d’abord la date de votre propre appareil |
| Autorité inconnue | Certificat auto-signé, chaîne incomplète, magasin de racines périmé, interception réseau | Tester le site depuis une autre connexion ou un autre appareil |
| Nom de domaine non couvert | Redirection mal configurée, ou page qui usurpe l’identité d’un autre site | Relire l’adresse caractère par caractère avant toute saisie |
L’erreur de date mérite une précision, parce qu’elle est la plus mal diagnostiquée. Un ordinateur dont la date est fausse de plusieurs mois déclenche cette alerte sur la moitié du web, et le problème n’a rien à voir avec les sites visités. Avant d’accuser un site, regardez l’horloge en bas de votre écran.
Les navigateurs permettent d’ignorer un avertissement et de continuer. Sur un blog sans enjeu, la question est mineure. Sur une banque, une messagerie, un service administratif ou une boutique où vous allez saisir un moyen de paiement, on ferme l’onglet. On vérifie l’adresse, on retente depuis une autre connexion, et on appelle le service concerné si l’alerte persiste.
Ce qu’un certificat ne prouve pas
Un certificat atteste deux choses : que la connexion est chiffrée, et que le demandeur a démontré le contrôle du domaine. Rien d’autre. Ni le sérieux de l’entreprise, ni la qualité de son service, ni le sort réservé à vos données, ni la légalité de son activité.
Le mécanisme explique pourquoi c’est si facile à obtenir. Dans la très grande majorité des cas, la vérification effectuée par l’autorité porte uniquement sur le domaine : le demandeur prouve qu’il en a le contrôle, en modifiant un enregistrement ou en déposant un fichier sur le serveur. Aucun contrôle d’identité d’entreprise n’entre en jeu. Un site frauduleux monté le matin même obtient donc un certificat en quelques minutes, gratuitement, et affichera la même icône rassurante qu’un service installé depuis quinze ans.
La vérification utile porte donc sur l’adresse elle-même, pas sur l’icône : le nom de domaine exact, son orthographe, son extension, l’absence de caractères substitués. Le certificat protège le trajet, pas la destination.
Un site en HTTPS est-il forcément un site sûr ?
Non, et c’est la confusion la plus répandue. Le HTTPS atteste que la connexion est chiffrée et que le serveur contrôle le domaine affiché. Il ne dit rien du sérieux de l’éditeur ni de l’usage fait de vos données. La quasi-totalité des sites d’hameçonnage utilisent aujourd’hui le HTTPS, justement parce que l’ancien cadenas rassurait. La vérification utile porte sur l’adresse exacte du site, pas sur l’icône.
Où est passé le cadenas dans la barre d’adresse ?
Chrome l’a remplacé à partir de sa version 117, en septembre 2023, par une icône évoquant des réglages. Le motif invoqué : trop d’internautes lisaient le cadenas comme un label de confiance, et presque personne ne cliquait dessus. La nouvelle icône donne accès aux mêmes informations — autorisations du site, cookies, détails du certificat. Les autres navigateurs ont leur propre variante, avec le même principe.
Comment voir le certificat d’un site que je visite ?
Cliquez sur l’icône située à gauche de l’adresse, ouvrez les informations de connexion, puis demandez les détails du certificat. Regardez en priorité le champ « émis pour », qui doit correspondre exactement au domaine consulté, puis « émis par » et les dates de validité. La manipulation fonctionne sur tous les navigateurs de bureau, avec des libellés légèrement différents. Sur mobile, l’accès aux champs est le plus souvent absent.
Pourquoi mon navigateur affiche-t-il une alerte de certificat ?
Trois causes dominent. Le certificat est expiré, et il faut alors commencer par vérifier l’horloge de votre propre appareil, souvent en cause. L’autorité qui l’a signé est inconnue de votre système, ce qui arrive sur les appareils anciens ou derrière un équipement réseau qui inspecte le trafic. Ou le domaine visité ne figure pas dans le certificat, ce qui peut venir d’une redirection mal configurée comme d’une tentative d’usurpation.
Combien de temps un certificat reste-t-il valable ?
De moins en moins longtemps. Le plafond est passé à deux cents jours en mars 2026, avec cent jours prévus pour mars 2027 et quarante-sept jours à l’horizon 2029, selon le calendrier adopté par l’organisme qui réunit éditeurs de navigateurs et autorités de certification. La logique de cette réduction : un certificat compromis reste exploitable moins longtemps, et le renouvellement devient automatisé par nécessité.
La prochaine fois qu’une page vous demande un mot de passe, ouvrez son certificat avant de taper quoi que ce soit : trois clics, et vous saurez à qui vous parlez.