Certificat SSL expiré (ERR_CERT_DATE_INVALID) : que faire

Réflexe préalable : est-ce vraiment le certificat ?

Avant tout, une vérification qui prend dix secondes et évite beaucoup de temps perdu : regardez la date et l'heure de votre appareil. Si votre horloge est décalée dans le futur ou dans le passé, un certificat parfaitement valide sera vu comme expiré ou pas encore valide — et l'erreur apparaîtra alors sur de nombreux sites à la fois, pas seulement le vôtre.

Le test décisif : ouvrez le site depuis un autre appareil, sur un autre réseau. Si l'erreur ne s'y produit pas, votre certificat va bien et le problème est local. Si elle se produit partout, le certificat est réellement expiré — passez à la suite.

Renouveler en urgence

Sur un hébergement mutualisé (o2switch, OVH, Ionos, cPanel, Plesk), tout se fait depuis le panneau d'administration : ouvrez la section SSL/TLS, sélectionnez le domaine et demandez la réémission du certificat gratuit. La propagation prend généralement quelques minutes ; certains panneaux exigent en plus de réactiver l'option de redirection HTTPS.

Sur un serveur que vous administrez avec Let's Encrypt, un renouvellement forcé suivi d'un rechargement du service suffit. L'oubli du rechargement est l'erreur la plus fréquente : certbot obtient bien le nouveau certificat, mais le serveur web continue de servir l'ancien depuis sa mémoire tant qu'il n'a pas relu sa configuration.

Si le renouvellement échoue, la cause est presque toujours la validation du domaine : le challenge HTTP passe par le chemin /.well-known/acme-challenge/, qu'une règle de réécriture, une redirection globale vers HTTPS ou une protection par mot de passe peut bloquer. Vérifiez que ce chemin reste accessible en HTTP sans redirection ni authentification.

sudo certbot renew --force-renewal
sudo systemctl reload nginx      # ou apache2

openssl s_client -connect exemple.com:443 -servername exemple.com </dev/null 2>/dev/null | openssl x509 -noout -dates

# À placer AVANT la règle de redirection HTTPS globale
RewriteEngine On
RewriteRule ^\.well-known/acme-challenge/ - [L]
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

sudo certbot renew --dry-run
systemctl list-timers | grep certbot

Ne plus jamais revivre l’expiration

Les certificats Let's Encrypt durent 90 jours et l'écosystème s'oriente vers des durées de vie encore plus courtes : le renouvellement manuel n'est tout simplement plus une option viable. Certbot installe normalement une tâche planifiée qui tente le renouvellement deux fois par jour à partir de 30 jours avant l'échéance. Le point à vérifier n'est pas son existence mais son bon fonctionnement : un dry-run régulier et la présence du timer dans systemd valent mieux qu'une confiance aveugle.

Le second oubli classique est le hook de rechargement : sans lui, le certificat se renouvelle correctement sur le disque mais n'est jamais servi. Configurez un deploy-hook qui recharge le serveur web après chaque renouvellement réussi.

Ajoutez enfin une surveillance externe indépendante de votre serveur : un scan périodique qui vérifie la date d'expiration du certificat vous alerte même si le cron est mort, si le disque est plein ou si le service ne redémarre plus. C'est précisément le genre de panne silencieuse qu'un audit régulier attrape avant vos visiteurs.

sudo certbot renew --deploy-hook "systemctl reload nginx"

Le cas des certificats commerciaux et des sous-domaines

Un certificat acheté (DV, OV ou EV) ne se renouvelle pas tout seul : il faut le racheter, refaire valider le domaine, puis réinstaller manuellement le nouveau fichier — et l'ancien reste servi tant que cette dernière étape n'est pas faite. Notez l'échéance dans un agenda partagé, pas dans la tête d'une seule personne.

Vérifiez également que le certificat couvre tous les noms utilisés : le domaine nu, la variante www et chaque sous-domaine actif. Une expiration ne touche parfois qu'un sous-domaine oublié dans le renouvellement — l'accueil du site fonctionne, mais l'espace client ou l'API tombent, ce qui rend le diagnostic beaucoup plus long.