01D'où viennent ces données ?
Depuis 2018, toute autorité de certification doit publier chaque certificat qu'elle émet dans des journaux publics et infalsifiables : la Certificate Transparency (CT). Les navigateurs refusent les certificats absents de ces journaux. Résultat : l'historique des certificats de n'importe quel domaine est public — cet outil l'interroge en direct via l'API Cert Spotter.
Usages courants : vérifier qu'un renouvellement a bien eu lieu, surveiller la date d'expiration (première cause de panne « site inaccessible »), détecter un certificat émis à votre insu (compromission ou prestataire trop zélé), ou inventorier les sous-domaines exposés. Pour la partie DNS du domaine, voyez notre test DNS et notre whois.
02Comprendre les résultats
- Émetteur
- L'autorité de certification (CA) qui a signé le certificat : Let's Encrypt, Google Trust Services, Sectigo, DigiCert… Gratuites ou payantes, toutes offrent le même niveau de chiffrement.
- Noms couverts
- Les domaines listés dans le certificat (SAN). Un wildcard *.exemple.fr couvre tous les sous-domaines de premier niveau.
- Expiration
- Au-delà de cette date, les navigateurs affichent une erreur bloquante. Les certificats actuels durent 398 jours maximum ; Let's Encrypt émet pour 90 jours.
- Révoqué
- Le certificat a été invalidé avant son expiration (clé compromise, réémission). Un certificat révoqué encore en service est un signal d'alerte.
- Doublons
- Un même renouvellement apparaît souvent plusieurs fois : précertificat + certificat final, ou variantes couvrant des noms différents. C'est normal.
03En ligne de commande
La même URL que cette page répond en texte brut (une ligne par certificat), et l'API JSON renvoie la liste structurée (CORS ouvert) — pratique pour alerter avant expiration :
$ curl "its-my-ip.com/tls?domain=exemple.fr" 2026-05-02T09:00:00Z 2026-07-31T09:00:00Z 4d Let's Encrypt exemple.fr,www.exemple.fr $ curl "its-my-ip.com/api/tls?domain=exemple.fr" { "total": 3, "certs": [ { "issuer": "Let's Encrypt", "notAfter": … } ] }
04Questions fréquentes
Pourquoi je vois des certificats que je n'ai jamais demandés ?
Trois causes bénignes couvrent la quasi-totalité des cas : les précertificats (chaque émission apparaît deux fois dans les journaux), les renouvellements automatiques de votre hébergeur ou CDN (Cloudflare, Vercel… émettent pour vous), et les certificats multi-noms où votre domaine figure aux côtés d'autres. Un émetteur que ni vous ni vos prestataires n'utilisez mérite en revanche une vérification.
Comment être alerté avant l'expiration d'un certificat ?
Interrogez l'API JSON de cet outil depuis un cron ou votre supervision et alertez sous 30 jours restants. En pratique, préférez le renouvellement automatique (ACME/certbot, ou celui de votre hébergeur) : l'alerte ne sert alors qu'à détecter les renouvellements qui ont échoué.
La Certificate Transparency expose-t-elle mes sous-domaines « secrets » ?
Oui : tout certificat nommant admin.exemple.fr ou vpn.exemple.fr rend ce nom public à jamais dans les journaux CT. Si un sous-domaine ne doit pas être connu, utilisez un certificat wildcard (*.exemple.fr) qui ne révèle pas les noms individuels — et rappelez-vous qu'un nom caché n'est pas une protection : mettez une vraie authentification devant.
Que faire si mon certificat est expiré ?
Renouvelez-le puis rechargez la configuration du serveur (les certificats sont lus au démarrage). Si vous utilisez certbot, vérifiez le timer de renouvellement (systemctl list-timers) ; derrière un CDN comme Cloudflare, le certificat visible des visiteurs est celui du CDN, renouvelé automatiquement — l'expiration côté origine reste alors invisible mais casse la liaison CDN-origine.
Pourquoi la liste diffère de crt.sh ?
Les deux services lisent les mêmes journaux CT mais présentent différemment : cet outil (via Cert Spotter) regroupe précertificat et certificat final en une « émission » et ne montre par défaut que les certificats non expirés. crt.sh liste chaque entrée brute, historique complet inclus, d'où des volumes bien supérieurs.