Certificat expiré et alerte « site trompeur » : ne pas les confondre

Lire le bandeau, pas le ressenti

Le visiteur dit « Chrome m’a bloqué » ou « y’a un virus ». Vous avez besoin du texte exact et d’une capture avec l’URL. NET::ERR_CERT, « votre connexion n’est pas privée », une date d’expiration, un nom d’hôte qui ne correspond pas : famille certificat. « Les auteurs de ce site ont conçu des pages pour tromper », écran rouge Safe Browsing, bouton « détails / visiter (dangereux) » : famille contenu.

Firefox, Edge, Safari ont leurs formulations. Le fond est le même : erreur TLS d’un côté, liste de danger de l’autre. Un antivirus (Norton, Bitdefender) en ajoute une troisième, souvent un bandeau ou une page interstitielle. Trois files, trois traitements. Voir site trompeur pour la file Safe Browsing.

Sans capture, vous perdez du temps. Un client envoie parfois une photo de l’écran certificat en croyant aider sur le « virus ». Vous renouvelez Let’s Encrypt, l’alerte rouge est toujours là le lendemain, et vous avez brûlé un jour.

• Texte exact + code d’erreur s’il y en a un.
• URL complète (www ou nu, http ou https).
• Navigateur et, si possible, mobile vs desktop.

Ce qu’un certificat expiré affiche vraiment

Let’s Encrypt dure 90 jours. Si le renouvellement cron a cassé (site suspendu, DNS cassé, port 80 fermé trop fort, plugin ACME mort), la date passe. Chrome refuse le TLS. L’utilisateur averti peut contourner ; la plupart font demi-tour. Ce n’est pas un piratage. C’est une panne d’exploitation.

Variantes du même tiroir : nom d’hôte pas dans le certificat (vous ouvrez l’apex, le cert n’a que www), certificat d’un autre site sur le vhost par défaut, intermédiaire manquant, horloge de l’appareil cliente (rare, mais réel sur un vieux téléphone). Aucune de ces pages n’est l’écran rouge « trompeur ».

Le renouvellement se fait chez l’hébergeur (case SSL, AutoSSL cPanel, plugin) ou via le reverse proxy (Cloudflare « Full » mal réglé donne un autre genre d’erreur). Une fois le cert valide, l’erreur CERT disparaît tout de suite. Pas de réexamen Google. Pas de ticket Safe Browsing.

Ce qu’affiche Safe Browsing

L’écran rouge reste même avec un certificat valide, récent, au bon nom. C’est le contenu (phishing, malware, social engineering) qui a été classé. Google relit l’URL au réexamen. Si elle répond encore 200 avec un kit, refus. Renouveler le cert n’a aucun effet sur cette file.

Transparency Report et Search Console (problèmes de sécurité) confirment. Un site peut être « trompeur » sans email Search Console si vous n’avez pas de propriété, ou seulement un préfixe qui ne voit pas l’URL citée.

Le traitement : couper les URL sales (410, pas redirect home), fermer la porte, tester comme un visiteur, puis une seule demande de réexamen. Le guide site trompeur est la version courte à envoyer à un associé.

Pourquoi on les confond (et qui en profite)

Les deux arrivent dans Chrome, les deux font peur, les deux parlent de « sécurité ». Les hébergeurs envoient parfois un mail « SSL » la même semaine qu’un abus « malware ». Le propriétaire traite le mail le plus compréhensible (le certificat) et croit avoir fini.

Certains prestataires peu scrupuleux vendent un « renouvellement SSL anti-virus » à 150 €. Le cert était le seul problème, ou n’était pas le problème. Demandez le texte de l’écran. Un forfait qui ne distingue pas les deux n’est pas un diagnostic.

L’attaquant, lui, n’a pas besoin que vous confondiez. Mais votre retard l’arrange : le kit reste en 200 pendant que vous attendez la propagation ACME. D’où la règle : lire le bandeau d’abord, agir ensuite.

Renouveler le certificat : utile, insuffisant

Si l’écran est CERT : renouvelez, ouvrez le port 80 le temps du challenge HTTP-01 si c’est votre méthode, ou passez en DNS-01. Vérifiez www et l’apex (faces multiples). Purgez le CDN. Vérifiez l’heure du serveur (un décalage casse la validité perçue).

Si l’écran est Safe Browsing : vous pouvez quand même renouveler un cert mort — les visiteurs qui forcent le passage doivent au moins chiffrer. Ça ne remplace pas le nettoyage. Ne le vendez pas comme « le correctif ».

Après un piratage, régénérer Let’s Encrypt est un rituel fréquent et rarement urgent. Les clés du site (wp-config, panel) comptent davantage. Le cert n’est pas une session admin.

L’alerte rouge : nettoyer, puis réexaminer

Ordre : constater (URL, captures), copier, panel, couper le contenu frauduleux, tests visiteurs et inspection, puis réexamen. Pas l’inverse. Un réexamen le jour d’un renouvellement de cert, kit encore là, est un refus daté.

Expliquez aux clients la différence en une phrase : « le cadenas, c’est le tunnel ; l’écran rouge, c’est le contenu ». Un bandeau sur la fiche Google Business le temps de la levée évite une pluie d’avis — voir SEO local après blacklist.

Si vous ne savez pas si le site est encore sale, ne touchez pas au cert en croyant tester. Ouvrez l’URL en navigation privée après avoir lu le bandeau. Les premiers gestes tiennent sans certificat.

Les deux en même temps, ça arrive

Compte suspendu : plus de renouvellement ACME, cert mort, et le motif de suspension est le phishing. Le visiteur voit d’abord CERT (le TLS casse avant l’écran Safe Browsing). Vous corrigez le cert sur un site encore interdit, ou l’inverse. Lisez le mail d’abus. Traitez la cause (compte suspendu), puis le TLS.

Un vhost par défaut sert un autre certificat et un kit. ERR_CERT_COMMON_NAME plus contenu frauduleux pour ceux qui forcent. Inventaire des vhosts, pas un clic « régénérer SSL » sur le nom principal seulement.

Documentez les deux horloges dans le constat : cert valide depuis telle heure, URL de kit en 410 depuis telle heure, réexamen déposé telle heure. L’assureur et l’hébergeur comprennent ça. « On a refait le SSL » tout seul, non.

Après : surveiller les deux horloges

Cert : alerte de renouvellement (panel, cron, mail Let’s Encrypt) 15 jours avant. Safe Browsing : Transparency Report + Search Console, trente jours. Un cert qui expire à nouveau n’est pas une réinfection ; une alerte rouge qui revient, si.

Ne déposez pas un réexamen « au cas où » après un simple renouvellement. Vous mélangez les files et vous vous faites une réputation de demandes vides.

Si le bandeau est ambigu ou que les deux causes sont là, déclarez le site. On lit la capture avant de toucher au DNS. Pas d’accès demandé à l’inscription.