Certificat SSL bientôt expiré : que faire avant que vos clients voient un avertissement

Le cadenas à côté de l'adresse de votre site signifie que celui-ci a un certificat SSL. C'est lui qui garde chiffré tout ce qu'un client saisit dans votre formulaire de contact ou son panier pendant le trajet jusqu'au serveur. La plupart des dirigeants n'y pensent jamais, parce que pendant des années il est là et il fonctionne.

Jusqu'au jour où il ne fonctionne plus. Un certificat a une date d'expiration, un peu comme un passeport. Une fois cette date passée, les navigateurs n'affichent plus votre site et montrent à la place un avertissement en pleine page. En général, un client le remarque avant vous.

Vérifier votre certificat prend environ deux minutes. Voici comment faire, ce qui se passe quand un certificat expire, et ce qu'il faut demander à votre hébergeur pour que ce jour n'arrive pas.

Comment vérifier le certificat vous-même

Ouvrez votre site dans Chrome et cliquez sur l'icône à gauche de l'adresse. Dans les versions récentes, ce n'est plus un cadenas mais une petite icône avec deux curseurs. Choisissez La connexion est sécurisée, puis Le certificat est valide.

Dans la fenêtre qui s'ouvre, repérez trois éléments :

• à qui le certificat a été délivré, ce qui doit être votre domaine,
• qui l'a délivré, par exemple Let's Encrypt, Sectigo ou DigiCert,
• la période de validité, avec la date d'expiration.

Le contrôle gratuit de certificat SSL (en anglais) affiche la même chose, et indique en plus si la chaîne de certificats est complète et si http redirige vers https.

S'il reste plusieurs semaines, il n'y a pas lieu de s'inquiéter. Les certificats à renouvellement automatique sont généralement remplacés environ un mois avant leur échéance. S'il ne reste que quelques jours et que le certificat est toujours l'ancien, le renouvellement a échoué quelque part et il faut le signaler tout de suite.

Ce qui se passe quand un certificat expire

Votre site ne disparaît pas d'Internet, mais presque personne ne pourra y accéder. Chrome affiche un écran qui dit Votre connexion n'est pas privée, avec le code NET::ERR_CERT_DATE_INVALID. Firefox et Safari ont leurs propres versions du même avertissement.

Techniquement, un visiteur peut cliquer dans les détails avancés et continuer. Quelqu'un qui voulait seulement prendre un rendez-vous ou consulter vos horaires ne le fera pas. Il fermera l'onglet et retournera aux résultats de recherche, où vos concurrents sont à un clic.

Il y a aussi des effets plus discrets. Les services qui se connectent automatiquement à votre site, comme un prestataire de paiement qui confirme qu'une commande est payée, peuvent se mettre à signaler des erreurs. Les annonces sur Google ou Facebook continuent de consommer votre budget, mais elles envoient désormais les gens droit vers un écran d'avertissement.

La correction elle-même prend en général quelques minutes. Votre hébergeur ou votre développeur émet un nouveau certificat et le site redevient normal. Le problème est que quelqu'un doit d'abord s'en apercevoir, et si le certificat expire un vendredi soir, cela peut vouloir dire le lundi matin.

Le renouvellement automatique, et pourquoi il échoue parfois

La plupart des hébergeurs délivrent désormais des certificats gratuits de Let's Encrypt ou d'un fournisseur similaire, et les renouvellent automatiquement. Un certificat Let's Encrypt dure 90 jours, donc sans automatisation personne ne pourrait suivre. Les certificats payants raccourcissent aussi. Depuis mars 2026, aucun certificat reconnu publiquement ne peut être valide plus de 200 jours, et cette limite doit descendre à 47 jours d'ici 2029. Le renouvellement manuel une fois par an est en voie de disparition.

L'automatisation fonctionne bien tant que rien ne change. Les causes les plus courantes de panne :

• le domaine a été déplacé vers un autre serveur ou placé derrière un service de proxy, et l'ancien hébergement continue d'essayer de renouveler un certificat qu'il ne peut plus valider,
• quelqu'un a ajouté une redirection ou une règle de pare-feu qui bloque aussi l'adresse servant à prouver que vous possédez le domaine,
• le certificat a été acheté à la main un jour auprès d'une autre société et personne n'a programmé de rappel,
• un renouvellement payant a échoué parce que la carte enregistrée sur le compte avait expiré.

Un autre changement que peu de gens ont remarqué : en 2025, Let's Encrypt a cessé d'envoyer des e-mails de rappel d'expiration. Si quelqu'un dans votre entreprise comptait sur « je recevrai un e-mail et je m'en occuperai alors », cet e-mail n'arrivera plus.

Quatre adresses pour un seul site

En pratique, votre site a quatre adresses :

• http://votredomaine.fr
• http://www.votredomaine.fr
• https://votredomaine.fr
• https://www.votredomaine.fr

Saisissez chacune à la main dans la barre d'adresse. Les quatre doivent aboutir à une seule et même adresse https. Si l'une reste en http simple, les formulaires de cette version du site envoient leurs données sans chiffrement.

Il arrive aussi que la version sans www fonctionne alors que celle avec www affiche un avertissement. Cela veut dire que le certificat ne couvre que l'un des deux noms. Chrome signale alors NET::ERR_CERT_COMMON_NAME_INVALID.

Celui-là est facile à manquer, parce que vous tapez toujours votre adresse de la même façon. Pendant ce temps, une ancienne carte de visite, une signature d'e-mail ou une fiche d'annuaire peut renvoyer les gens exactement vers l'autre version.

L'avertissement de contenu mixte

Parfois le certificat est parfaitement valide et le navigateur n'affiche pourtant pas un cadenas propre. Dans Chrome, vous verrez une mention indiquant que votre connexion au site n'est pas entièrement sécurisée. Parfois, quelques images ne se chargent tout simplement pas.

On appelle cela le contenu mixte. La page se charge en https, mais à l'intérieur, certains fichiers sont encore demandés en http. C'est généralement un reste du passage à un certificat il y a des années : adresses d'images dans d'anciens articles, script de compteur de visites, police de caractères ou bannière d'un partenaire qui pointent encore vers http://. Les navigateurs bloquent ces éléments ou tentent de les remplacer, si bien que la page paraît légèrement cassée et que votre visiteur voit un message qui n'inspire pas confiance.

La correction est l'affaire de votre développeur. Il doit trouver tous les liens qui commencent par http:// et les changer en https://, dans le contenu comme dans le thème. Sur WordPress, c'est en général une seule opération sur la base de données, à faire de préférence après une sauvegarde.

Ce qu'il faut demander à votre hébergeur

Un seul e-mail à votre hébergeur, ou à la personne qui s'occupe du site, suffit :

1. Le certificat de notre domaine se renouvelle-t-il automatiquement, et qui l'émet ?
2. Couvre-t-il à la fois la version avec www et celle sans www ?
3. Les quatre versions de l'adresse redirigent-elles vers une seule adresse https ?
4. Qui est prévenu si un renouvellement échoue, et avec quelle rapidité agira-t-il ?
5. Y a-t-il du contenu mixte sur le site ?

Vous pouvez ajouter une petite chose vous-même. Mettez un rappel dans votre agenda deux semaines avant la date d'expiration que vous venez de lire. Si ce jour-là les détails du certificat affichent déjà une nouvelle date plus tardive, l'automatisation fonctionne. Sinon, vous avez deux semaines pour régler le problème au lieu d'une panne un vendredi soir.