Certificat TLS expiré : la panne du dimanche matin

Un certificat qui expire ne dégrade pas le site, il le bloque. Pourquoi le renouvellement automatique échoue silencieusement, et comment s'en apercevoir avant les visiteurs.

Ce qui se passe à l’expiration

Il n’y a pas de dégradation progressive. À la seconde où le certificat expire, tous les navigateurs affichent un avertissement plein écran que l’immense majorité des visiteurs ne franchit pas. Le trafic tombe à zéro, les formulaires ne sont plus soumis, et les applications qui appellent votre site en API échouent.

C’est brutal, et cela arrive presque toujours un week-end — non par malchance, mais parce qu’un certificat Let’s Encrypt dure quatre-vingt-dix jours et que rien ne cale cette échéance sur les jours ouvrés.

Pourquoi le renouvellement automatique échoue

L’automatisation existe partout, et c’est précisément ce qui endort la vigilance. Les causes habituelles :

• La validation ne passe plus. Le renouvellement exige de prouver que vous contrôlez le domaine, généralement via un fichier servi en HTTP. Une redirection ajoutée, une règle de pare-feu ou un changement d’hébergement suffit à casser cette vérification.
• Le service de renouvellement ne tourne plus. Une tâche planifiée désactivée lors d’une migration, un conteneur qui ne redémarre plus.
• Le domaine a changé de serveurs DNS et la validation pointe encore vers l’ancien.
• Un sous-domaine a été retiré du certificat alors qu’il est encore servi.

Dans tous ces cas, l’échec est silencieux : les journaux du serveur le consignent, mais personne ne les lit tant que le site fonctionne.

Le seuil qui compte

Let’s Encrypt renouvelle normalement à trente jours de l’échéance. Ce n’est pas une marge de confort, c’est un signal : si un certificat descend sous trente jours restants, le renouvellement automatique a déjà échoué au moins une fois.

C’est là qu’il faut regarder, pas à trois jours de l’expiration.

Ce qu’une vérification externe peut voir, et ce qu’elle ne peut pas

Silently lit les journaux publics de transparence des certificats, où chaque autorité publie les certificats qu’elle émet. On y voit donc les certificats émis pour votre domaine et leur date d’expiration.

Cette méthode a une limite que nous préférons énoncer : elle montre ce qui a été émis, pas ce qui est servi. Un certificat émis et jamais déployé apparaît comme valide. Elle détecte parfaitement le cas qui arrive en pratique — plus personne ne renouvelle quoi que ce soit — mais pas tous les cas possibles.

→ Le détail de notre méthode et de ses limites

Les bons réflexes

• Surveillez l’échéance en externe, pas seulement depuis le serveur : un serveur qui a cessé de renouveler a souvent aussi cessé d’alerter.
• Traitez un certificat sous trente jours comme une panne déjà survenue, pas comme une échéance.
• Vérifiez après chaque migration, chaque changement de DNS et chaque ajout de sous-domaine — ce sont les trois moments où le renouvellement casse.
• Activez HSTS une fois que le renouvellement est fiable, pas avant : avec HSTS, un certificat expiré ne laisse même plus la possibilité de passer outre.