Comment vérifier la date d’expiration d’un certificat SSL avec OpenSSL

Les certificats SSL ont une durée de validité d’un an seulement. Si vous ne renouvelez pas votre certificat avant la date limite, votre site web deviendra inaccessible aux visiteurs car les navigateurs le signaleront comme potentiellement vulnérable aux menaces de sécurité.

En connaissant la date d’expiration de votre certificat, vous éviterez des tracas inutiles et des pannes de site web. Un moyen rapide d’examiner la durée de vie de votre certificat est d’utiliser une bibliothèque cryptographique populaire. Ce guide vous montrera comment vérifier l’expiration d’un certificat avec OpenSSL. Suivez les instructions et ne laissez pas la période de validité de votre certificat SSL affecter la fonctionnalité de votre site web.

---

Commande OpenSSL pour vérifier la date d’expiration du certificat

OpenSSL propose différentes commandes pour obtenir la date d’expiration du certificat. La commande spécifique dépend du format de votre fichier de certificat et de l’endroit où il est stocké. Nous couvrirons ici les scénarios les plus courants sous Linux et Windows :

• Certificat stocké sur un serveur
• Fichier de certificat encodé PEM

Date d’expiration du certificat Options de commande OpenSSL

La vérification de la date d’expiration du certificat SSL sur un serveur local à l’aide d’OpenSSL est similaire à la vérification sur un serveur distant. La différence est qu’au lieu de spécifier un domaine et un port distants, vous utiliserez localhost et le port approprié où tourne votre serveur local.

Sous Linux

Vérifiez la date d’expiration du certificat SSL dans la ligne de commande Linux :

| echo openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -enddate

Remplacez yourdomain.com par votre nom de domaine actuel.

Sous Windows

1. Ouvrez l’invite de commande ou PowerShell Appuyez sur Win + R, tapez cmd ou powershell et appuyez sur Entrée.
2. Exécutez la commande OpenSSL pour vérifier la date d’expiration du certificat :

echo | openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>nul | openssl x509 -noout -enddate

Remplacez yourdomain.com par votre nom de domaine actuel. La partie nulle de 2> est utilisée à la place de
2> /dev/null pour supprimer les messages d’erreur sous Windows.

Sur MacOS

La vérification de la date d’expiration du certificat SSL sur un système macOS est la même que sur un système Linux, car macOS et Linux sont tous deux des systèmes d’exploitation de type Unix. Les commandes et leur utilisation sont identiques.

---

Analyse de la commande et de la sortie

Examinons maintenant chaque élément de la commande pour mieux comprendre comment OpenSSL vérifie la période de validité. Considérez la commande suivante :

echo | openssl s_client -servername example.com -connect example.com:443 2>nul | openssl x509 -noout -enddate

Et le résultat :

notAfter=May 23 12:00:00 2025 GMT

Voici ce que signifie chaque partie :

1. echo |: Envoie une entrée vide à la commande OpenSSL s_client. Il garantit que la commande s’achève sans nécessiter d’interaction de la part de l’utilisateur.
2. openssl s_client -servername example.com -connect example.com:443:
   • openssl s_client : Cette commande établit une connexion SSL/TLS avec un serveur distant.
   • -servername example.com: Cette option est utilisée pour l’indication du nom du serveur (SNI), qui permet de spécifier le nom d’hôte lors de l’échange SSL. Il est nécessaire pour les serveurs hébergeant plusieurs certificats SSL/TLS pour différents domaines.
   • -connect example.com:443: spécifie le serveur et le port auxquels se connecter. Le port 443 est le port standard pour HTTPS.
3. 2>/dev/null (Linux) ou 2>nul (Windows) :
   • Redirige l’erreur standard (stderr) vers /dev/null (Linux) ou nul (Windows), supprimant ainsi tout message d’erreur. Il nettoie la sortie en n’affichant que les informations pertinentes.
4. | openssl x509 -noout -enddate :
   • Le pipe (|) transmet la sortie de la commande précédente en entrée à openssl x509.
   • openssl x509: Cette commande permet de gérer les certificats X.509.
   • -noout : Empêche la commande d’imprimer le certificat au format PEM.
   • -enddate : affiche uniquement la date d’expiration du certificat.
5. notAfter=May 23 12:00:00 2025 GMT :
   • Comme expliqué précédemment, il indique que le certificat expirera le 23 mai 2025 à 12:00:00 GMT.
     

---

Comment vérifier la date d’expiration d’un certificat SSL à partir d’un fichier encodé PEM ?

Un fichier codé PEM est un format codé en base64 avec des séparateurs tels que —–BEGIN CERTIFICATE—– et —–END CERTIFICATE—–. Pour vérifier la date d’expiration d’un fichier de certificat codé en PEM à l’aide d’OpenSSL, procédez comme suit :

Sous Linux et MacOS

1. Ouvrez votre application de terminal.
   Naviguez jusqu’au répertoire contenant votre fichier PEM. Utilisez la commande cd pour accéder au répertoire dans lequel se trouve votre fichier de certificat :
   
   cd /path/to/your/certificate/directory
2. Utilisez la commande suivante pour vérifier la date d’expiration. Remplacez votre_certificate.pem par le nom de votre fichier.
   
   openssl x509 -in votre_certificate.pem -noout -enddate

Sous Windows

1. Ouvrez l’invite de commande ou PowerShell. Appuyez sur Win + R, tapez cmd ou powershell et appuyez sur Entrée.
2. Naviguez jusqu’au répertoire contenant votre fichier PEM. Utilisez la commande cd pour vous rendre dans le répertoire où se trouve votre fichier de certificat :
   
   cd C:\NPathique\NVotrecertificat\Nrépertoire
3. Utilisez la commande suivante pour vérifier la date d’expiration :
   
   openssl x509 -in votre_certificate.pem -noout -enddate

Assurez-vous que OpenSSL est installé et ajouté à votre PATH. Si ce n’est pas le cas, vous devrez peut-être spécifier le chemin complet vers le binaire openssl.exe.

---

En conclusion

Vous pouvez vérifier l’expiration d’un certificat avec OpenSSL sur différentes plateformes. Malgré de légères différences dans la syntaxe des commandes dues aux variations des systèmes d’exploitation, les résultats de ces commandes fournissent des informations cruciales sur la date d’expiration de vos certificats SSL.

Le champ notAfter vous indique précisément la date et l’heure auxquelles votre certificat ne sera plus valide. Le suivi de ces informations vous permet de renouveler vos certificats à temps afin de maintenir des communications sécurisées et d’éviter les interruptions de service.