Domaine expiré ou certificat SSL expiré ? Comment savoir
Un domaine qui expire fait tout tomber, y compris la messagerie, parce que le DNS lui-même cesse de répondre ; un certificat qui expire laisse le site parfaitement joignable mais place un avertissement plein écran entre chaque visiteur et votre contenu. Un domaine enregistré et un certificat TLS valide sont deux choses distinctes sur deux calendriers distincts, mais vus de l'extérieur, ils peuvent ressembler au même problème : un site web qui fonctionnait cesse de fonctionner. Les boîtes de support reçoivent des tickets « le site est en panne » pour les deux, et la correction de l'un ne fait rien pour l'autre. Panne différente, propriétaire différent, correction différente.
Ce qui se passe quand l'enregistrement d'un domaine expire
Un nom de domaine est un bail, pas un achat. Il est enregistré auprès d'un registraire pour une durée fixe, et si personne ne le renouvelle avant la fin de cette durée, le domaine cesse d'être le vôtre au sens très littéral et technique : les enregistrements DNS qui font pointer votre domaine vers votre serveur web, votre serveur de messagerie, tout, cessent de se résoudre. Les visiteurs ne voient pas de page d'erreur venant de votre propre site, car il n'y a plus du tout de route vers votre site - leur navigateur reçoit un échec DNS avant même d'atteindre votre serveur. La messagerie se casse de la même façon, puisque la livraison du courrier dépend des mêmes enregistrements DNS (recherches MX) que la livraison web. Si un domaine a « expiré » et que vous pouvez toujours y recevoir du courrier, soit il n'a pas encore expiré, soit vous regardez le mauvais domaine.
Les registraires ne suppriment pas un domaine expiré à l'instant même où il expire. Il existe une fenêtre de récupération, généralement structurée en étapes : d'abord une période de grâce où vous pouvez renouveler au prix normal, puis une période de rédemption plus longue où le registre conserve le nom mais facture des frais de restauration bien plus élevés, puis une dernière fenêtre de suppression en attente avant que le nom ne soit relâché vers le public, moment où n'importe qui, y compris un investisseur de domaines guettant exactement cette opportunité, peut l'enregistrer. Le nombre exact de jours à chaque étape, et le montant des frais de rédemption, varient selon le registre et le registraire, donc traitez tout chiffre précis que vous lisez ailleurs comme une règle empirique pour ce cas particulier, pas comme une constante universelle. Ce qui est universel, c'est la forme générale : plus vous attendez, plus il coûte cher de récupérer le nom, et au-delà d'un certain point, il a tout simplement disparu. Récupérer un domaine expiré est une action du registraire : vous, ou celui qui contrôle le compte registraire, doit se connecter et le renouveler ou le restaurer. Aucune configuration de serveur ou de DNS ne corrige cela de votre côté.
Ce qui se passe quand un certificat TLS expire
Un certificat TLS (SSL) est un engagement bien plus modeste et bien plus court : une déclaration signée, valable pour une période limitée, affirmant qu'une clé publique particulière appartient à votre domaine. Le DNS s'en moque, votre hébergement s'en moque, et votre serveur web continue de servir les pages exactement comme avant. Ce qui change, c'est ce que le navigateur du visiteur fait de ces pages. Dès que la date d'expiration d'un certificat est dépassée, chaque navigateur qui la vérifie, c'est-à-dire tous, refuse de terminer la connexion sécurisée et affiche un interstitiel plein écran à la place de votre contenu : « Votre connexion n'est pas privée », un cadenas avec un triangle d'avertissement, ou un message similaire selon le navigateur. Le site est toujours là, le serveur est toujours en ligne, mais presque personne ne cliquera à travers cet avertissement pour le voir.
La correction est plus étroite qu'une récupération de domaine : réémettez ou renouvelez le certificat et installez le nouveau. Pour un certificat émis via un processus automatisé, ce que prennent en charge la plupart des hébergements modernes et de nombreuses autorités de certification, le renouvellement peut se faire sans surveillance, selon un calendrier, sans aucune action humaine requise tant que l'automatisation continue de fonctionner. Le risque avec les certificats, en pratique, n'est pas que le renouvellement soit difficile. C'est que l'automatisation s'est arrêtée (une tâche cron qui ne se déclenche plus, un hook de renouvellement qui a commencé à échouer) et que personne ne l'a remarqué avant qu'un visiteur ne le fasse.
Comment distinguer lequel des deux vous rencontrez
| Symptôme | Le domaine a expiré | Le certificat a expiré |
|---|---|---|
| Le site se charge-t-il du tout | Non. Le navigateur échoue à résoudre l'adresse avant même d'atteindre votre serveur | Le serveur répond, mais le navigateur bloque la page derrière un avertissement |
| Ce que montre le navigateur | Une erreur « impossible d'accéder à ce site » / erreur DNS | Un avertissement de certificat ou « la connexion n'est pas privée » |
| Le courrier vers ce domaine | Se casse aussi | Non affecté |
| Qui peut le corriger | Celui qui contrôle le compte registraire | Celui qui gère le certificat ou l'hébergement |
Si vous n'êtes pas sûr auquel des deux vous avez affaire, vérifiez chacun indépendamment. Une vérification whois vous indique directement le statut d'enregistrement du domaine. Une vérification de certificat SSL vous indique directement la validité et la date d'expiration du certificat. Une recherche DNS rapide confirme si le domaine se résout du tout, ce qui à lui seul sépare déjà les deux cas : s'il se résout, le domaine va bien et tout problème lui est postérieur. Entre ces trois vérifications, vous saurez à quelle panne vous avez affaire avant même de toucher à quoi que ce soit.
Comment surveiller les deux pour n'être surpris par aucun
La seule vraie solution pour l'un ou l'autre problème est d'en être informé avant qu'un visiteur mécontent ne le fasse. HostTracker exécute la surveillance de domaine et la surveillance de certificat comme deux vérifications domaine et TLS distinctes, chacune dédiée à surveiller une expiration spécifique, pour que vous n'ayez pas à compter sur votre propre mémoire d'une date de renouvellement.
Les deux vérifications s'exécutent au même rythme, environ toutes les 6 heures, puisqu'un enregistrement ou un certificat ne change pas de statut minute par minute. En plus des abonnements aux alertes que vous configurez vous-même pour la vérification, les deux vérifications portent aussi une échelle de rappels qui s'exécute automatiquement : un avertissement envoyé 30 jours, 7 jours, et 1 jour avant la date d'expiration réelle. Cette échelle n'est pas quelque chose que vous configurez. Elle s'exécute d'elle-même, et elle passe uniquement par des canaux de messages, jamais par un appel vocal. Ces rappels anticipés circulent sur l'abonnement Up de la vérification, donc un contact doit être abonné aux événements Up, pas seulement Down, pour les recevoir. L'alerte Down, celle qui se déclenche parce que le domaine ou le certificat a réellement expiré, est distincte de l'échelle de rappels et ne se déclenche qu'à l'expiration réelle, jamais l'un des jours de rappel eux-mêmes. Si c'est toujours en panne après cela, Repeat continue de notifier les contacts abonnés jusqu'à la récupération, moment où Up se déclenche à nouveau.
Configurez chaque vérification comme vous le feriez pour n'importe quel autre moniteur HostTracker : pointez-la vers le domaine ou le certificat qui vous intéresse, ajoutez les contacts qui doivent en être informés, et assurez-vous qu'au moins l'un d'eux est sur l'abonnement Up pour que l'échelle de rappels atteigne quelqu'un. Des tours d'horizon complets, étape par étape, se trouvent dans le guide d'expiration de domaine et le guide d'expiration de certificat.
Lecture complémentaire
- Tous les guides de surveillance - le centre pour chaque type de vérification HostTracker.
- Comment vérifier une date d'expiration de certificat SSL - la recherche ponctuelle de certificat, par navigateur et par ligne de commande.
- Comment effectuer une recherche whois - lire l'enregistrement d'inscription qui porte la date d'expiration du domaine.
- Configurer une vérification d'expiration de domaine
- Configurer une vérification d'expiration de certificat