De nombreuses entreprises suivent le tutoriel pour effectuer le processus de demande de certificat SSL, mais restent toujours bloquées à l’étape de vérification. Le problème ne vient souvent pas seulement du certificat lui-même, mais est aussi étroitement lié au plan d’optimisation SEO du site web, à la résolution du nom de domaine et à la configuration du serveur. Cet article s’appuiera sur les difficultés pratiques pour vous aider à identifier rapidement la cause.

Pourquoi le processus de demande de certificat SSL semble simple, mais se bloque souvent en réalité à l’étape de vérification

En apparence, le processus de demande de certificat SSL ne comporte généralement que 4 étapes : passer commande, soumettre les informations, effectuer la vérification et installer puis déployer. Mais ce qui affecte réellement l’avancement se concentre souvent sur cette étape de vérification, en particulier la vérification du domaine, la vérification par fichier, la vérification de résolution DNS et la vérification de l’identité de l’entreprise.

Pour les chercheurs d’informations et les décideurs d’entreprise, le point le plus facilement négligé est le suivant : ce que l’autorité de certification vérifie, c’est le contrôle du nom de domaine et l’authenticité de l’entité, et non pas simplement le fait que « le site web s’ouvre ». Tant que les enregistrements DNS ne sont pas encore effectifs, que le mapping du répertoire du serveur est erroné, ou que l’adresse e-mail Whois n’est pas disponible, des échecs répétés peuvent survenir.

Dans un scénario intégré site web + services marketing, le processus de demande de certificat SSL concerne aussi la visibilité dans les moteurs de recherche, l’accessibilité des pages de destination publicitaires ainsi que la sécurité de soumission des formulaires. Une vérification bloquée pendant 3 à 7 jours peut, au minimum, retarder la mise en ligne et, au pire, affecter la fenêtre de promotion et le suivi des leads.

En particulier pour les entreprises qui exploitent en parallèle des sites multilingues, des sites à l’étranger, des sites indépendants et des sous-sites de distributeurs, il existe souvent des situations où CDN, proxy inverse, système de création de site et scripts de suivi publicitaire prennent effet en même temps. Un échec de vérification n’est pas forcément un problème de certificat ; il se peut aussi que l’architecture globale du site n’ait pas prévu à l’avance un chemin dédié à la vérification.

Les 4 points de blocage les plus courants pour les entreprises

• La résolution DNS n’est pas totalement effective : le délai habituel de propagation est de 10 minutes à 48 heures, et il est encore plus lent en cas de DNS transfrontalier ou de coexistence de plusieurs prestataires.
• Le fichier de vérification est placé dans le mauvais répertoire : dans les scénarios de sites programmés, de pseudo-sites statiques et de liaison multi-sites, le fichier est souvent téléversé dans un répertoire qui n’est pas le véritable répertoire racine.
• La politique de sécurité du serveur bloque l’accès : WAF, protection anti-hotlinking, redirection forcée ou règles de cache peuvent empêcher l’accès normal à l’URL de vérification.
• Les informations de l’entreprise sont incohérentes : lorsque le nom de l’entreprise, l’adresse et le téléphone ne correspondent pas aux registres publics, l’examen des certificats OV ou EV s’allonge nettement.

Selon le mode de vérification, les difficultés diffèrent aussi

De nombreux techniciens de maintenance après-vente pensent que tous les modes de vérification se valent à peu près, alors qu’en réalité les différences sont importantes. La vérification DNS convient davantage aux équipes disposant des droits de gestion du domaine ; la vérification par fichier convient mieux aux équipes pouvant gérer directement le répertoire du site ; la vérification par e-mail dépend, elle, du bon fonctionnement de la boîte mail de gestion du domaine.

Si l’entreprise travaille à la fois son optimisation pour les moteurs de recherche et ses campagnes publicitaires, il est recommandé d’évaluer en priorité quelle méthode a le moins d’impact sur le trafic en ligne. Par exemple, pendant qu’une page de campagne est en cours de diffusion, modifier fréquemment les règles de redirection ou les autorisations de répertoire peut affecter la qualité publicitaire et la stabilité de l’indexation.

En cas de blocage à l’étape de vérification, vérifiez d’abord ces 6 points clés

Lorsque le processus de demande de certificat SSL est interrompu, il n’est pas recommandé de soumettre à nouveau à l’aveugle. Une méthode plus efficace consiste à vérifier point par point. Pour les sites d’entreprise, sites de recrutement de distributeurs, sites de commerce extérieur et sites officiels de marque, il faut au minimum contrôler 6 éléments : l’état du domaine, les enregistrements de résolution, le répertoire racine du site, l’accès au port, les règles de redirection et les informations de l’entité.

Le tableau ci-dessous convient aux décideurs d’entreprise, au support technique et aux agences afin de déterminer ensemble à quel niveau se situe le problème. Cela permet d’éviter les situations où « le fournisseur de certificats dit qu’il n’y a pas de problème, l’exploitation-maintenance dit que c’est déjà configuré, et le marketing dit que la page ne s’ouvre pas ».

Si, parmi ces 6 éléments, 2 ou plus ne sont pas confirmés, il est en pratique très difficile que le processus de demande de certificat SSL passe du premier coup. Pour les entreprises disposant de plusieurs sites, il est recommandé de transformer la vérification en liste de contrôle fixe afin d’éviter de recommencer la communication depuis le début à chaque fois, et d’économiser 2 à 4 cycles d’allers-retours de confirmation.

Ordre de vérification recommandé

1. Confirmez d’abord si le domaine pointe vers le bon environnement, afin d’éviter d’effectuer une vérification officielle sur un site de test.
2. Confirmez ensuite si le mode de vérification correspond aux droits de l’équipe ; DNS, fichier et e-mail ne doivent pas être mélangés temporairement.
3. Vérifiez ensuite les politiques de sécurité et les règles de redirection, en particulier la redirection forcée HTTPS, le cache CDN et la liste blanche WAF.
4. Enfin, vérifiez les informations de l’entité de l’entreprise, applicables aux scénarios comme OV, EV et autres nécessitant une vérification organisationnelle.

Quels sites sont plus susceptibles d’échouer à répétition

D’après la pratique des projets, les sites qui se bloquent le plus facilement dans le processus de demande de certificat SSL appartiennent généralement à 3 catégories : les sites multilingues à l’étranger, les sites marketing connectés à un CDN, ainsi que les sous-sites gérés conjointement par plusieurs distributeurs. Sur ces sites, les droits sont dispersés, la chaîne de modification est longue, et une seule vérification est souvent étendue à 2 à 5 jours ouvrables.

Si l’entreprise se trouve dans une phase d’entrée sur un nouveau marché ou de promotion produit, il est recommandé de coordonner la vérification du certificat, l’activation du domaine, les tests des pages de destination et l’indexation dans les moteurs de recherche, et d’éviter autant que possible de laisser le processus de demande de certificat au cours des 24 heures précédant la mise en ligne de la campagne.

Comment les entreprises doivent choisir selon les différents certificats et les différents modes de vérification

De nombreux problèmes d’achat ne résident pas dans « peut-on faire la demande », mais dans « le mauvais type a été choisi ». DV, OV, EV ne signifient pas que plus c’est élevé, mieux c’est ; il faut tenir compte du scénario métier, du délai de mise en ligne, des exigences de confiance de la marque et de la complexité de maintenance. Pour les projets intégrés site web + services marketing, un mauvais choix de type affecte directement le rythme de livraison.

Si l’entreprise a simplement besoin de mettre rapidement en ligne une page de campagne ou un site officiel de base, on privilégiera généralement une solution avec un chemin de vérification simple et une émission plus rapide. S’il s’agit d’un site officiel de marque, d’un site de demandes de devis, d’un portail partenaires ou du back-office d’un réseau de distribution, l’importance de la vérification organisationnelle sera plus élevée.

Le tableau ci-dessous convient à l’alignement entre les équipes achats, opérations et techniques. Il ne compare pas simplement les prix, mais plutôt « les scénarios d’usage, l’intensité de l’examen et le risque projet ».