Expiration d’un nom de domaine ou d’un certificat SSL : causes et prévention

Un nom de domaine expiré ou un certificat TLS périmé est la panne la plus visible que puisse connaître un petit parc informatique : le site affiche un avertissement du navigateur ou une page parking publicitaire, les e-mails n’arrivent plus, et les clients en concluent que l’entreprise a fermé ou s’est fait pirater. C’est aussi l’une des plus évitables, car chaque domaine et chaque certificat a une date d’expiration connue des mois à l’avance. Ce guide explique pourquoi ils expirent malgré tout, ce qui se passe concrètement quand c’est le cas, comment constituer un inventaire, les pièges du renouvellement automatique, comment gérer les certificats de 90 jours, les verrous chez le registrar, et propose une checklist de surveillance.

Pourquoi noms de domaine et certificats expirent

Presque jamais parce que personne ne connaissait la date. Les causes habituelles sont les suivantes :

• La carte enregistrée a expiré. Le renouvellement automatique était activé ; le paiement a échoué ; les e-mails d’avertissement sont partis vers une adresse que personne ne lit.
• L’adresse e-mail du titulaire n’existe plus. Le domaine a été enregistré il y a des années par un fondateur, un ancien salarié ou une agence web, avec une adresse aujourd’hui disparue. Avis de renouvellement, demandes de vérification et validations de transfert partent tous dans le vide.
• La relation avec l’agence a pris fin. Le développeur qui a monté le site payait le domaine ou le certificat sur son propre compte. Quand la mission s’est terminée, les renouvellements aussi.
• Les certificats ont été installés à la main, une seule fois. Un certificat d’un an a été acheté et installé manuellement ; un an plus tard, la personne qui s’en était chargée est partie, et rien n’est planifié.
• Trop de prestataires. Des domaines chez deux registrars, des certificats chez un troisième, le DNS chez un quatrième, chacun avec ses identifiants et son cycle de renouvellement.
• Personne n’en est responsable. Le marketing pense que l’informatique gère le domaine ; l’informatique pense que c’est l’agence ; l’agence pense que c’est le client.

Ce qui se passe réellement à l’expiration

L’expiration d’un domaine est une succession d’étapes, pas une falaise. À la date d’expiration, la plupart des registrars suspendent la résolution DNS : le site et la messagerie cessent immédiatement de fonctionner, même si le domaine n’est pas encore perdu. Suit une période de grâce pendant laquelle vous pouvez renouveler au prix normal, puis généralement une période de rédemption pendant laquelle le renouvellement reste possible moyennant des frais nettement plus élevés, et enfin le domaine est libéré et chacun peut l’enregistrer. Les durées et les frais exacts varient selon le registrar et l’extension ; vérifiez les conditions en vigueur chez votre registrar. Les domaines expirés qui ont un historique de trafic sont couramment rachetés par des spéculateurs et des cybersquatteurs dans les minutes qui suivent leur libération.

Au-delà du site, c’est la messagerie qui paie le prix fort. Chaque message envoyé à votre domaine est rejeté ; les e-mails de réinitialisation de mot de passe de tous vos autres services n’arrivent nulle part ; et si le domaine est capté, celui qui le détient peut recevoir vos e-mails et réinitialiser ces mots de passe.

L’expiration d’un certificat, elle, est une falaise. Dès qu’elle est passée, les navigateurs affichent un avertissement pleine page pour le site, les clients d’API refusent de se connecter, et tout ce qui dépend de la connexion — pages de paiement, applications mobiles, intégrations avec des partenaires — tombe en panne. Les certificats internes des serveurs de messagerie, des VPN et des interfaces d’administration expirent tout aussi brutalement, et l’on s’en aperçoit plus tard.

Constituer l’inventaire

On ne peut pas renouveler ce dont on ignore l’existence. Pour les domaines :

• Listez chaque domaine détenu par l’entreprise, y compris les enregistrements défensifs, les déclinaisons par pays, les anciens noms de marque et les domaines de campagne. Recherchez les prélèvements de registrars sur vos relevés de carte et dans le grand livre fournisseurs, et interrogez les collaborateurs les plus anciens.
• Pour chacun, notez : le registrar, le titulaire des identifiants du compte, les adresses e-mail des contacts titulaire et administratif, la date d’expiration, l’état du renouvellement automatique, le moyen de paiement, l’hébergeur du DNS et ce qui en dépend (site web, messagerie, domaines personnalisés de services SaaS).
• Faites une recherche WHOIS ou RDAP sur chacun pour confirmer que la date d’expiration et les contacts du titulaire sont bien ceux que vous croyez.

Pour les certificats :

• Listez chaque nom d’hôte qui sert du TLS : sites publics, sous-domaines, API, serveurs de messagerie, points d’accès VPN, consoles d’administration internes, répartiteurs de charge et nœuds de CDN.
• Pour chacun, notez : l’autorité de certification, la date d’expiration, le mode d’émission (manuel, automatisation ACME, géré par un CDN ou un hébergeur), l’emplacement de la clé privée et qui peut le réémettre.
• Utilisez les journaux Certificate Transparency (bases de données publiques et consultables des certificats émis) pour trouver les certificats émis pour vos domaines dont vous ignoriez l’existence.

Les pièges du renouvellement automatique

Le renouvellement automatique est nécessaire, mais pas suffisant. Ses défaillances sont prévisibles :

• Il dépend d’un moyen de paiement qui expirera lui-même. Notez la date d’expiration de la carte à côté de celle du domaine, et surveillez les deux.
• Les registrars tentent souvent le renouvellement un certain nombre de jours avant l’expiration et réessaient quelques fois ; si les tentatives échouent, ils s’arrêtent et envoient un e-mail. Si cet e-mail n’est pas lu, le domaine expire avec le renouvellement automatique « activé ».
• Certains registrars désactivent le renouvellement automatique après un échec de paiement, un changement d’adresse e-mail du compte ou un transfert.
• Les renouvellements pluriannuels réduisent la fréquence du problème, mais pas sa gravité, et l’intervalle plus long rend le renouvellement plus facile à oublier à l’échelle de l’organisation.

Considérez le renouvellement automatique comme la deuxième ligne de défense. La première, c’est une personne qui reçoit un rappel suffisamment tôt et vérifie que le renouvellement a bien eu lieu.

Certificats de 90 jours et automatisation

La durée de vie des certificats reconnus publiquement raccourcit depuis des années, et le secteur s’oriente vers des validités qui se comptent en semaines plutôt qu’en années. À ces intervalles, le renouvellement manuel n’est pas une option réaliste ; la seule approche durable est l’automatisation via le protocole ACME, où un client installé sur le serveur (ou votre CDN ou hébergeur) demande, valide et installe les certificats selon un calendrier, sans intervention humaine.

L’automatisation ne supprime pas le besoin de surveillance ; elle change ce que vous surveillez. Les renouvellements automatiques échouent en silence quand un changement DNS casse la validation, quand une règle de pare-feu bloque la requête de validation ou quand le logiciel client n’est pas à jour. Gardez une vérification externe sur chaque nom d’hôte public qui alerte lorsque le certificat présenté a moins de, disons, 14 jours de validité restante — si l’automatisation fonctionne, cette alerte ne devrait jamais se déclencher, et si elle se déclenche, il vous reste deux semaines.

Les certificats qui ne peuvent pas être automatisés — certains systèmes internes, les certificats de signature de code, les certificats d’équipements — rejoignent l’inventaire avec des rappels explicites, exactement comme un domaine.

Verrou de transfert et hygiène des comptes

Puisque l’inventaire est ouvert, comblez les autres failles courantes :

• Activez le verrou chez le registrar (verrou de transfert) sur chaque domaine, pour qu’il ne puisse pas être transféré sans déverrouillage explicite.
• Activez l’authentification à deux facteurs sur les comptes du registrar, du DNS et de l’autorité de certification, et assurez-vous que plus d’une personne peut y accéder.
• Faites pointer les adresses e-mail des contacts titulaire et administratif vers une boîte fonctionnelle contrôlée par l’entreprise (comme domains@ ou it@), et non vers l’adresse d’une personne, et assurez-vous qu’elle est surveillée.
• Regroupez vos domaines chez un ou deux registrars lorsque c’est possible.
• Si le registrar le propose, utilisez les réglages d’avis de renouvellement pour envoyer les alertes à une seconde adresse.

Checklist de surveillance

1. Chaque domaine et chaque certificat figure dans un inventaire unique, avec un responsable et une date d’expiration.
2. Des rappels pour chaque domaine à 90, 30 et 7 jours avant l’expiration, envoyés à plus d’une personne.
3. Les dates d’expiration des cartes de paiement consignées pour chaque compte à renouvellement automatique, avec leurs propres rappels.
4. Une surveillance externe des certificats sur chaque nom d’hôte public, avec alerte à 14 jours de l’échéance.
5. Chaque trimestre : vérifier les contacts du titulaire, les verrous et l’authentification à deux facteurs sur chaque compte de registrar.
6. Chaque année : reconstruire l’inventaire à partir des relevés, des recherches WHOIS et des journaux Certificate Transparency pour repérer toute nouveauté.
7. À chaque départ : vérifier si la personne qui part était titulaire du compte ou contact d’un domaine, d’un certificat ou d’un fournisseur DNS.

Comment Trackords vous aide

Trackords est un outil de suivi gratuit, sans carte bancaire, et les domaines comme les certificats s’y prêtent naturellement. Créez des types de fiches « Domaine » et « Certificat » avec des champs personnalisés pour le registrar ou l’autorité de certification, le titulaire du compte, l’hébergeur DNS, l’état du renouvellement automatique et la date d’expiration de la carte de paiement. Chaque fiche accepte jusqu’à trois rappels par e-mail à un nombre de jours choisi avant l’expiration, ou à une date fixe, plus une alerte facultative le jour de l’expiration — le calendrier 90/30/7 ci-dessus se définit une fois par fiche.

Les rappels sont envoyés par e-mail à chaque utilisateur actif de l’espace de travail, plus une adresse supplémentaire facultative par fiche : l’alerte ne se limite pas à la seule personne qui détient les identifiants. L’import CSV charge l’inventaire depuis un tableur en quelques minutes, et le journal d’audit montre qui a modifié une date de renouvellement. Trackords est un système de rappels et de fiches, pas un outil de surveillance des certificats en temps réel : associez-le à une vérification externe de disponibilité ou de TLS pour les noms d’hôte les plus importants. Consultez la page suivi des opérations ou la démo en ligne, et pour un inventaire plus complet des coûts informatiques récurrents, lisez la checklist d’audit des abonnements SaaS.