Vérifier la date d'expiration d'un certificat SSL

Savoir quand un certificat expire prend quelques secondes, à condition de connaître la bonne méthode. Voici les quatre principales, de la plus simple à la plus technique.

1. Avec le vérificateur en ligne

Le plus rapide : saisissez le domaine dans le vérificateur SSL gratuit. Vous obtenez :

• la date d'expiration et le nombre de jours restants ;
• l'autorité qui a émis le certificat ;
• les noms couverts et la correspondance avec le domaine demandé ;
• le protocole TLS négocié et la taille de la clé.

Aucune installation, et le test reflète exactement ce que voient vos visiteurs.

2. Dans le navigateur

Chrome / Edge : cliquez sur l'icône à gauche de l'adresse, puis La connexion est sécurisée → Le certificat est valide. La date figure dans Période de validité.

Firefox : cliquez sur le cadenas, puis Connexion sécurisée → Plus d'informations → Afficher le certificat.

Safari : cliquez sur le cadenas, puis Afficher le certificat.

Limite : vous ne voyez que le certificat servi à votre connexion. Derrière un load balancer, un autre serveur peut servir un certificat différent.

3. En ligne de commande avec OpenSSL

Idéal pour les scripts et les serveurs sans interface :

echo | openssl s_client -connect exemple.fr:443 -servername exemple.fr 2>/dev/null \
  | openssl x509 -noout -dates

Résultat :

notBefore=Sep 18 08:12:44 2026 GMT
notAfter=Dec 17 08:12:43 2026 GMT

notAfter est la date d'expiration. Quelques variantes utiles :

# Émetteur, titulaire et date d'expiration
... | openssl x509 -noout -issuer -subject -enddate

# Noms couverts (OpenSSL 1.1.1 ou plus récent)
... | openssl x509 -noout -ext subjectAltName

# Code de retour non nul si le certificat expire dans moins de 30 jours
... | openssl x509 -noout -checkend 2592000

L'option -servername est importante : sans elle, un serveur qui héberge plusieurs sites peut renvoyer le certificat d'un autre domaine.

Avec curl, c'est encore plus court :

curl -vI https://exemple.fr 2>&1 | grep -i "expire"

4. Directement sur le serveur

Pour lire un fichier de certificat (.pem ou .crt) :

openssl x509 -in /etc/letsencrypt/live/exemple.fr/fullchain.pem -noout -enddate

Si vous utilisez Certbot :

sudo certbot certificates

Attention : le fichier sur le disque n'est pas forcément celui que le serveur web sert réellement. Après un renouvellement, Nginx ou Apache doivent être rechargés. Vérifiez donc toujours aussi depuis l'extérieur, avec la méthode 1 ou 3.

Vérifier un certificat ne suffit pas : il faut le surveiller

Toutes ces méthodes donnent une photo à un instant donné. Pour ne plus avoir à y penser, ajoutez vos domaines à SSL Expiration Reminder : la date est contrôlée automatiquement chaque jour, et vous êtes alerté 30, 15, 7, 3 ou 1 jour(s) avant l'échéance, ou dès qu'un certificat devient invalide.