Certificats SSL : vérifier le renouvellement automatique

Pourquoi un certificat SSL expiré peut bloquer votre site

Un certificat SSL/TLS permet d’activer le protocole HTTPS : les données échangées entre le navigateur et votre site sont chiffrées, et le navigateur peut vérifier qu’il communique bien avec le serveur associé à votre nom de domaine. Aujourd’hui, HTTPS n’est plus une option pour un blog, un site vitrine, une boutique ou une interface d’administration WordPress.

Lorsqu’un certificat expire, le navigateur ne peut plus établir cette relation de confiance. Les visiteurs voient alors un avertissement de sécurité, avec un message qui varie selon le navigateur : « Votre connexion n’est pas privée », « Connexion non sécurisée » ou une erreur de certificat. Le site n’est pas nécessairement arrêté sur le serveur, mais, dans les faits, une grande partie des visiteurs n’ira pas plus loin.

Cette situation peut avoir des conséquences immédiates :

une baisse des visites et de la crédibilité du site ;
des formulaires de contact ou de commande que les internautes hésitent à utiliser ;
des alertes dans des outils externes qui appellent votre site en HTTPS ;
un accès plus compliqué à /wp-admin ou aux interfaces de gestion ;
des erreurs pour les API, les webhooks et certains services connectés à votre domaine.

Pour un site e-commerce, le problème est particulièrement sensible : un visiteur qui arrive sur un avertissement de sécurité ne finalisera généralement pas son achat. Pour un site plus modeste, la panne est tout aussi anxiogène, car elle donne l’impression que le domaine a été piraté ou que l’hébergement est hors service.

Il faut aussi distinguer deux problèmes proches, mais différents. Un certificat expiré concerne la validité du HTTPS. Un domaine expiré concerne l’enregistrement du nom de domaine lui-même. Dans le second cas, le renouvellement SSL peut également échouer, car l’hébergeur ou l’autorité de certification ne peut plus valider correctement le domaine.

Un cadenas affiché aujourd’hui ne garantit pas que le certificat se renouvellera demain. Le bon réflexe consiste à vérifier l’automatisation et les conditions nécessaires à son fonctionnement.

Comprendre la durée de validité d’un certificat HTTPS

La plupart des hébergements mutualisés proposent désormais des certificats gratuits de Let’s Encrypt. Cette autorité de certification émet des certificats dont la durée de validité est de 90 jours. C’est volontairement court : ce fonctionnement encourage l’automatisation et limite la durée d’exposition en cas de problème de sécurité.

Vous ne devez donc pas attendre trois mois pour agir manuellement. En utilisation normale, l’hébergeur, son panneau de contrôle ou votre outil de gestion de certificats lance un renouvellement avant l’échéance. Let’s Encrypt recommande d’ailleurs d’automatiser ce processus.

Un certificat peut couvrir :

un seul nom d’hôte, par exemple www.exemple.fr ;
plusieurs noms d’hôtes dans un même certificat, par exemple exemple.fr et www.exemple.fr ;
un sous-domaine, tel que blog.exemple.fr ;
un domaine générique de type *.exemple.fr, appelé certificat wildcard.

Cette différence est importante. Un certificat valide pour www.exemple.fr ne couvre pas automatiquement exemple.fr, ni blog.exemple.fr. De nombreux incidents viennent d’un certificat correctement renouvelé, mais incomplet pour l’adresse réellement utilisée par les visiteurs.

Les navigateurs vérifient aussi que le certificat correspond exactement au nom de domaine demandé. Si vous avez récemment ajouté une variante avec ou sans www, créé une zone de préproduction ou déplacé votre site vers un nouveau serveur, il faut contrôler la couverture HTTPS de chaque adresse utile.

Renouvellement SSL automatique : ce que votre hébergeur prend réellement en charge

La mention « SSL gratuit » ou « Let’s Encrypt inclus » est rassurante, mais elle ne signifie pas toujours que tout est configuré sans condition. L’hébergeur peut proposer l’émission et le renouvellement automatiques, tout en vous laissant responsable de la bonne configuration du domaine, du DNS et du site.

Dans un scénario simple, le renouvellement fonctionne ainsi :

le certificat approche de son expiration ;
l’outil de l’hébergeur demande un nouveau certificat auprès de l’autorité de certification ;
l’autorité vérifie que vous contrôlez bien le domaine ;
le nouveau certificat est installé sur le serveur web ;
le site continue à répondre en HTTPS sans intervention manuelle.

La vérification de contrôle du domaine est le point clé. Avec la méthode HTTP-01 utilisée couramment, l’autorité de certification doit pouvoir joindre un fichier de validation sur votre domaine via le port 80, c’est-à-dire en HTTP. Une redirection normale de HTTP vers HTTPS est généralement compatible lorsque l’outil de validation peut suivre la redirection, mais des règles de sécurité trop strictes, un pare-feu, un proxy mal configuré ou une redirection vers un autre domaine peuvent faire échouer l’opération.

La méthode DNS-01 repose, elle, sur l’ajout d’un enregistrement DNS spécifique. Elle est notamment nécessaire pour les certificats wildcard. Son automatisation exige que l’hébergeur ou l’outil de certificat puisse modifier la zone DNS, souvent via une API du fournisseur DNS. Si vos DNS sont gérés ailleurs, ce lien n’est pas forcément automatique.

Un hébergeur peut donc prendre en charge le certificat pour le domaine principal associé à votre offre, sans couvrir automatiquement tous les sous-domaines, les domaines externes ou les environnements de test. Consultez la page SSL de votre panneau d’administration pour connaître le périmètre exact : certificat actif, noms inclus, date d’expiration et éventuels messages d’échec.

Si vous choisissez une formule pour votre premier projet, ne vous limitez pas à la présence du mot « SSL ». Vérifiez également l’existence d’un tableau de bord lisible, d’une option de renouvellement automatique et d’un support capable d’intervenir. Notre guide sur les fonctions à privilégier chez un hébergeur pour débutant peut vous aider à comparer ces éléments pratiques.

Les 5 vérifications à faire dans votre espace d’hébergement

Vous n’avez pas besoin d’être administrateur système pour anticiper une expiration. Connectez-vous à l’espace client de votre hébergeur ou au panneau associé à votre site. Selon les offres, il peut s’agir de cPanel, Plesk, d’un tableau de bord propriétaire ou d’une interface WordPress gérée. Recherchez les rubriques « SSL/TLS », « Sécurité », « Domaines » ou « Certificats ».

1. Vérifier la date d’expiration affichée

Commencez par repérer la date de fin de validité du certificat actuellement installé. Le panneau de l’hébergeur est souvent l’endroit le plus simple, mais vous pouvez aussi cliquer sur l’icône située à gauche de l’adresse dans votre navigateur, puis afficher les informations du certificat.

Contrôlez l’adresse exacte de votre site, par exemple https://exemple.fr puis https://www.exemple.fr si les deux sont accessibles. Ne vous contentez pas de vérifier la page d’accueil : les sous-domaines importants, tels qu’un espace client ou une boutique, peuvent utiliser un certificat différent.

2. Confirmer que le renouvellement automatique est activé

Dans certains panneaux, l’automatisation est active par défaut et n’apparaît pas comme un bouton. Dans d’autres, vous trouverez une mention telle que « renouvellement automatique », « AutoSSL », « Let’s Encrypt » ou un statut indiquant que le certificat est géré.

Recherchez surtout les signaux d’alerte : une option désactivée, un certificat importé manuellement, une tâche de renouvellement en erreur ou l’absence de fournisseur de certificat indiqué. Un certificat payant acheté auprès d’un tiers peut suivre un processus distinct de celui des certificats gratuits de l’hébergeur.

3. Contrôler tous les noms de domaine inclus

Ouvrez le détail du certificat et vérifiez la liste des noms couverts. Votre domaine nu et sa version avec www doivent être présents si vous les utilisez tous les deux. Ajoutez à votre contrôle les sous-domaines destinés au public, comme boutique, app ou blog.

Attention aux redirections : si www.exemple.fr redirige vers exemple.fr, le navigateur doit tout de même pouvoir établir une connexion HTTPS valide avec www.exemple.fr avant de suivre la redirection. La variante redirigée doit donc, elle aussi, être couverte.

4. Vérifier que le domaine pointe vers le bon serveur

Le renouvellement automatique échoue fréquemment après une migration. Si vous avez modifié les enregistrements DNS A, AAAA ou CNAME, l’autorité de certification peut tenter de valider le domaine sur un ancien serveur, un service CDN ou une autre plateforme.

Dans votre zone DNS, assurez-vous que le domaine et les sous-domaines concernés pointent vers le service qui gère réellement le certificat. Si vous utilisez Cloudflare, un CDN, un reverse proxy ou un DNS séparé de l’hébergeur, vérifiez la documentation des deux services. Le certificat présenté au visiteur peut être différent de celui installé sur le serveur d’origine.

5. Lire les notifications et les journaux d’erreur

Consultez les e-mails liés à votre compte d’hébergement ainsi que la zone de notifications de votre panneau. Les outils de certificat signalent souvent un problème avant l’expiration : domaine inaccessible, validation impossible, limite atteinte ou enregistrement DNS absent.

Si votre interface propose un historique ou un journal AutoSSL/Let’s Encrypt, lisez le dernier message plutôt que de cliquer plusieurs fois sur « renouveler ». Le texte d’erreur indique généralement la cause à corriger. Gardez aussi l’adresse e-mail de contact du domaine et celle du compte d’hébergement à jour : une alerte envoyée à une ancienne boîte mail ne vous aidera pas.

Les causes les plus fréquentes d’un renouvellement SSL en échec

Un renouvellement qui échoue n’est pas forcément lié à une panne chez l’hébergeur. Dans la majorité des cas, un changement de configuration a empêché la validation du domaine. Voici les situations les plus courantes à examiner.

Le domaine a expiré ou est suspendu : vérifiez sa date de renouvellement auprès du registrar. Le certificat ne remplace pas un domaine valide.
Le DNS pointe vers la mauvaise adresse : cela arrive après un changement d’hébergeur, l’ajout d’IPv6 ou la conservation d’un ancien enregistrement.
Le port 80 n’est pas accessible : une règle de pare-feu, un serveur mal configuré ou un proxy peut bloquer la validation HTTP-01.
Le répertoire de validation est bloqué : des règles de redirection, de protection par mot de passe ou des réglages applicatifs peuvent empêcher l’accès au chemin /.well-known/acme-challenge/.
Le domaine n’est pas ajouté dans le bon compte d’hébergement : l’outil SSL doit connaître le domaine et pouvoir servir le fichier de validation.
Un sous-domaine manque dans la demande de certificat : le certificat est renouvelé, mais il ne contient pas tous les noms nécessaires.
Un certificat manuel est toujours installé : il peut empêcher ou masquer le déploiement du certificat automatisé.

Les limites imposées par une autorité de certification peuvent aussi entrer en jeu, notamment après de nombreuses demandes répétées. Dans ce cas, évitez de relancer les émissions sans avoir identifié la source de l’échec. Réparez d’abord le DNS ou l’accessibilité du domaine, puis utilisez l’outil de renouvellement proposé par l’hébergeur.

Que faire si le certificat ne se renouvelle pas ?

Agissez sans précipitation, mais ne laissez pas l’alerte sans réponse. Si le certificat est encore valide, vous avez le temps de diagnostiquer le problème. S’il a déjà expiré, la priorité est de rétablir un certificat correct, et non de contourner l’avertissement dans votre navigateur.

Voici une méthode simple, adaptée à un débutant :

notez le nom de domaine concerné et le message d’erreur affiché dans le panneau ;
vérifiez l’expiration du domaine auprès de votre registrar ;
testez l’ouverture de http://votre-domaine.tld et https://votre-domaine.tld depuis une connexion normale ;
contrôlez les enregistrements DNS dans la zone qui fait autorité pour votre domaine ;
vérifiez que le domaine est bien déclaré dans l’hébergement qui doit le servir ;
lancez à nouveau le renouvellement depuis l’interface uniquement après ces contrôles ;
contactez le support de l’hébergeur avec le nom du domaine, une capture de l’erreur et les changements récents effectués.

Évitez de supprimer un certificat existant sans comprendre les conséquences. Sur certaines plateformes, le renouvellement et le déploiement sont liés à un service précis ; supprimer la mauvaise configuration peut étendre l’interruption. De la même façon, n’achetez pas dans l’urgence un certificat payant si un certificat automatisé peut être réparé : le coût ne résout pas une erreur DNS ou un domaine inaccessible.

Une fois le certificat renouvelé, testez le site dans une fenêtre de navigation privée et sur les variantes de domaine utilisées. Vérifiez aussi les pages essentielles : accueil, formulaire, connexion à l’administration, panier et paiement si vous avez une boutique. Si vous employez un CDN, purgez uniquement le cache si sa documentation le recommande ; le certificat présenté au visiteur dépend parfois de la couche CDN et non du serveur d’hébergement.

Mettre en place une routine de prévention simple

Le renouvellement automatique réduit fortement le travail manuel, mais il ne dispense pas d’une vérification périodique. Une routine légère suffit pour la plupart des petits sites.

contrôlez le statut SSL après une migration, un changement de DNS ou l’ajout d’un sous-domaine ;
vérifiez le certificat avant une campagne publicitaire, un lancement de produit ou une période commerciale importante ;
gardez à jour les e-mails de contact du registrar et de l’hébergeur ;
activez les notifications de renouvellement lorsque votre fournisseur les propose ;
documentez les services qui gèrent votre domaine, votre DNS, votre CDN et votre hébergement.

Ajoutez également une surveillance externe de votre site. Des services comme UptimeRobot ou Better Stack Uptime peuvent surveiller une URL HTTPS et vous alerter lorsqu’elle ne répond plus normalement. Cette surveillance ne remplace pas la gestion du certificat, mais elle peut vous prévenir avant qu’un visiteur ne vous signale le problème.

Pour aller plus loin dans la prévention des indisponibilités, il est utile d’évaluer les engagements réels du fournisseur. Notre article sur la promesse d’uptime à 100 % explique pourquoi la disponibilité ne dépend pas uniquement du serveur, mais aussi du DNS, des certificats, des sauvegardes et de votre propre configuration.

Conclusion : un contrôle rapide pour éviter une panne très visible

Un certificat SSL expiré est une panne souvent facile à éviter, mais particulièrement dommageable pour la confiance des visiteurs. Les certificats Let’s Encrypt et les outils intégrés aux hébergements ont largement simplifié le renouvellement HTTPS. Leur bon fonctionnement reste toutefois lié à des conditions concrètes : domaine actif, DNS cohérent, serveur accessible et noms de domaine correctement inclus.

Prenez quelques minutes pour ouvrir votre espace d’hébergement, vérifier la date du certificat, confirmer l’automatisation et contrôler les domaines couverts. Ce petit contrôle, surtout après une migration ou une modification DNS, peut vous épargner une alerte de sécurité visible par tous vos visiteurs.