Erreur NET::ERR_CERT_DATE_INVALID : causes et solutions

« Votre connexion n'est pas privée », suivi du code NET::ERR_CERT_DATE_INVALID : c'est le message que Chrome et Edge affichent quand la date du certificat ne correspond pas à la date actuelle. Firefox affiche SEC_ERROR_EXPIRED_CERTIFICATE, et Safari « Ce certificat a expiré ».

Le plus souvent, le certificat du site a expiré. Mais il faut d'abord savoir de quel côté se trouve le problème.

Étape 1 : le problème vient-il du site ou de l'ordinateur ?

Passez le domaine dans le vérificateur SSL, ou ouvrez le site depuis un autre appareil, par exemple votre téléphone en 4G.

• L'erreur apparaît partout : le certificat du site a expiré. Passez à l'étape 2.
• L'erreur n'apparaît que sur un appareil : le problème est local. Voir « Côté visiteur » plus bas.

Étape 2 : côté site, trouver pourquoi le certificat a expiré

Le renouvellement automatique a échoué

C'est la cause la plus fréquente avec Let's Encrypt. Sur le serveur :

sudo certbot renew --dry-run

Le message d'erreur indique généralement la cause : port 80 inaccessible, DNS qui ne pointe plus vers le serveur, webroot introuvable, identifiants du plugin DNS invalides. Corrigez, puis lancez sudo certbot renew.

Le certificat est renouvelé, mais pas servi

Le nouveau certificat est bien sur le disque, mais le serveur web sert toujours l'ancien, chargé en mémoire. Comparez les deux :

sudo certbot certificates          # date sur le disque
echo | openssl s_client -connect exemple.fr:443 -servername exemple.fr 2>/dev/null \
  | openssl x509 -noout -enddate   # date réellement servie

Si elles diffèrent, rechargez le service : sudo systemctl reload nginx, ou apache2, haproxy… Ajoutez ensuite un deploy hook pour que ça ne se reproduise pas. Le guide Let's Encrypt et Certbot explique comment.

Un certificat payant n'a pas été renouvelé

Commande oubliée, carte bancaire expirée, email de rappel arrivé chez un ancien salarié… Renouvelez auprès du fournisseur, puis installez le nouveau certificat avec ses intermédiaires. Voir Comment renouveler votre certificat SSL.

Un seul des serveurs est concerné

Derrière un load balancer, ou avec plusieurs points d'entrée (CDN, serveur d'origine, sous-domaines), un seul nœud peut servir un certificat expiré. L'erreur apparaît alors « une fois sur deux ». Vérifiez chaque serveur individuellement.

Le certificat n'est pas encore valide

Plus rare : la date de début du certificat est dans le futur. Cela arrive quand l'horloge du serveur qui a généré le certificat est fausse. Vérifiez la synchronisation NTP du serveur (timedatectl).

Côté visiteur : quand seul votre appareil est concerné

• Date et heure système incorrectes : c'est la cause n°1. Activez le réglage automatique de l'heure, puis rechargez la page.
• Antivirus ou proxy d'entreprise qui inspecte le trafic HTTPS avec son propre certificat : mettez-le à jour, ou désactivez temporairement l'analyse HTTPS pour tester.
• Appareil très ancien : ses certificats racines ne sont plus à jour. Mettez à jour le système.

Faut-il cliquer sur « Continuer vers le site » ?

En tant que visiteur, seulement si vous savez exactement pourquoi l'erreur apparaît. Si le site utilise HSTS, le navigateur ne propose même pas cette option.

En tant que propriétaire du site, ce n'est pas une solution : la plupart des visiteurs partiront, les API et applications mobiles cesseront de fonctionner, et les robots des moteurs de recherche ne pourront plus explorer vos pages.

Ne plus jamais voir cette erreur sur vos sites

Cette erreur est entièrement évitable : la date d'expiration est connue des mois à l'avance. Avec SSL Expiration Reminder, chaque certificat est vérifié automatiquement, et vous êtes prévenu avant l'échéance, par email, Slack ou Telegram, ainsi que toute personne que vous ajoutez comme destinataire. Le plan gratuit couvre 3 domaines.