Le certificat expire samedi : qui te prévient à temps ?
En bref
Un certificat porte sa date d'expiration imprimée dessus, ce qui en fait la panne la plus évitable et la plus gênante. Le renouvellement automatique couvre le site public et presque rien d'autre : le terminal de paiement, l'interface de l'enregistreur et l'équipement dans la baie ont chacun le sien, et personne n'en compte les jours.
Presque toutes les pannes arrivent sans prévenir. Celle-ci arrive avec une date imprimée dessus, visible par qui veut la regarder, soixante jours à l’avance. Et elle se produit quand même, chaque année, dans des organisations par ailleurs bien tenues.
Pourquoi les certificats expirent-ils encore sans que personne le voie ?
Parce que ce qui est automatisé n’est pas ce qui expire.
Le renouvellement automatique s’est occupé du site public il y a des années, et avec lui du sentiment que le problème était résolu. Pendant ce temps, les certificats se sont multipliés dans des endroits qu’aucune automatisation n’atteint : le terminal de paiement du magasin, l’interface web de l’enregistreur vidéo, le serveur de messagerie, l’équipement VPN, le tableau de bord interne, la machine qui parle à l’API d’un fournisseur. Chacun présente un certificat. Aucun n’est dans le script de renouvellement.
La deuxième raison est plus agaçante : un renouvellement qui fonctionne et ne change rien. Le nouveau certificat est écrit sur le disque, la tâche annonce un succès, et le service continue de servir l’ancien parce que rien ne lui a dit de se recharger. Vu de l’extérieur — le seul côté où se trouvent tes clients — c’est indiscernable d’un renouvellement qui n’aurait jamais eu lieu.
La troisième est la plus discrète : l’appareil qui ne révèle son certificat expiré qu’au redémarrage. Il a tourné onze mois sans redémarrer. Puis il y a une coupure de courant un vendredi soir, et le samedi matin il refuse de repartir.
Combien de temps à l’avance faut-il être prévenu ?
Deux mois avant l’échéance, et en montant le ton à mesure qu’elle approche : ce que tu décomptes, ce sont les jours restants sur le certificat tel qu’il est réellement servi, pas tel qu’il existe dans un fichier. Cette seule distinction attrape le cas du renouvellement sans rechargement, qui est le plus fréquent en pratique.
Puis fais monter la pression délibérément. À deux mois, une note suffit. À deux semaines, cela doit atteindre un canal que les gens lisent vraiment dans la journée. Dans les derniers jours, cela doit interrompre quelqu’un — un certificat qui expire le samedi matin était déjà visible le mercredi. Et une fois la date passée, cela doit revenir chaque jour, sans pitié, parce que ce n’est plus un avertissement : c’est une panne qui est en train de durer.
À côté, surveille le domaine. Son échéance, son bureau d’enregistrement, ses serveurs de noms. Cette information est publiée par le registre lui-même, il n’y a donc aucune excuse à ne pas la connaître — et un changement inattendu est soit une erreur, soit l’œuvre de quelqu’un d’autre, et les deux valent un appel téléphonique.
Sais-tu combien de certificats tu as ?
Probablement pas : la vraie difficulté n’est pas le décompte, c’est de savoir ce qui existe.
La plupart des organisations sont incapables de lister leurs propres certificats. Le site, oui. Le terminal du magasin, probablement pas. L’interface de l’enregistreur, presque sûrement pas. Le sous-domaine publié par quelqu’un pour une campagne en 2023, non. On ne peut pas décompter les jours de quelque chose qu’on a oublié posséder, et c’est de là que viennent les samedis coûteux — jamais du certificat dont tout le monde se souvient.
Commence donc par la liste. Prends les domaines que tu contrôles et cherche ce qui est publié dessous, ajoute les appareils qui présentent une interface web même si tu es seul à t’en servir, et ensuite compte. La liste elle-même est généralement le constat.
Que faire cette semaine
- Note chaque adresse qui présente un certificat, y compris celles que seul le personnel utilise. Attends-toi à une liste plus longue que prévu.
- Mets-les toutes sur un décompte, mesuré sur ce qui est servi, pas sur un fichier.
- Règle l’escalade tout de suite : un message des semaines à l’avance, un plus fort à deux semaines, une vraie interruption dans les derniers jours, et un rappel quotidien une fois l’échéance passée.
- Ajoute la date d’échéance du domaine lui-même, et vérifie au passage qui sont le bureau d’enregistrement et les serveurs de noms.
- Pour chaque certificat qui se renouvelle automatiquement, vérifie une fois que le service se recharge vraiment. Ce test de cinq minutes fait toute la différence.
On n’est jamais surpris par un certificat. On a seulement omis de compter.
Ce que nous ne pouvons pas te dire
- Nous ne pouvons pas voir un certificat sur quelque chose que nous ne surveillons pas : nous lisons ce qu'un service présente sur son port, donc un appareil dont tu ne nous as pas parlé reste invisible, quoi qu'il soit sur le point d'expirer à l'intérieur.
- Nous ne pouvons pas renouveler un certificat à ta place, et nous ne pouvons pas redémarrer le service qui sert encore l'ancien après un renouvellement réussi.
- Nous ne pouvons pas voir un certificat qui n'est jamais présenté sur le réseau — celui qui dort dans un fichier de configuration, dans un magasin de clés ou dans une chaîne de signature que rien ne sert.
Les questions qu'on pose vraiment
Nous avons le renouvellement automatique. Ce n'est pas réglé ?
C'est réglé pour ce qui se trouve à l'intérieur de l'automatisme, c'est-à-dire d'habitude le site public et rien d'autre. Le terminal de paiement, l'interface web de l'enregistreur, le serveur de messagerie, l'équipement dans la baie et l'outil interne monté par quelqu'un en 2021 ont chacun leur propre certificat, renouvelé à la main ou pas du tout. Ce sont ceux-là qui expirent un samedi.
Le renouvellement a réussi et le site montre encore un certificat expiré. Comment ?
Parce que renouveler et servir sont deux étapes. Le nouveau certificat est sur le disque et le service tient encore l'ancien en mémoire, parce que rien ne l'a rechargé. C'est l'une des versions les plus fréquentes de cette panne, et vue de l'extérieur elle est identique à un renouvellement qui n'aurait jamais eu lieu — et c'est exactement pour cela que le contrôle doit se faire depuis l'extérieur, contre ce qui est réellement servi.
Combien de préavis est utile ?
Assez pour agir, puis une pression croissante. Un décompte à partir de soixante jours te laisse le temps de t'organiser ; un rappel à deux semaines passe par un autre canal ; dans les derniers jours, cela mérite d'interrompre quelqu'un. Et une fois la date passée, l'avertissement doit revenir chaque jour, parce qu'un certificat expiré n'est pas une notification, c'est une panne en cours.
Et le nom de domaine lui-même ?
La même forme de panne avec un rayon d'action plus large : un domaine expiré emporte le site, la messagerie et tout ce qui en dépend, et le récupérer n'est ni toujours rapide ni toujours bon marché. Surveille la fiche du registre pour la date d'échéance, le bureau d'enregistrement et les serveurs de noms — et traite tout changement inattendu comme un événement sérieux, parce que c'est soit une erreur, soit le travail de quelqu'un d'autre.
Un certificat expiré, c'est une panne ou un avertissement ?
Pour tes visiteurs, c'est une panne complète : les navigateurs refusent, les terminaux refusent, les intégrations refusent. En interne, cela mérite sa propre couleur — le service répond, mais personne ne peut s'en servir. Le traiter comme une simple dégradation, c'est ainsi qu'il survit à un week-end.