Quand Chrome affiche « Votre connexion n'est pas privée », le code en dessous indique la cause : NET::ERR_CERT_DATE_INVALID signale un certificat expiré (ou une horloge fausse chez le visiteur), ERR_CERT_COMMON_NAME_INVALID un certificat qui ne couvre pas le nom tapé, par exemple www, et ERR_CERT_AUTHORITY_INVALID un certificat non reconnu ou une chaîne incomplète. Si l'erreur apparaît chez tous vos visiteurs, la correction se fait sur le serveur. Ce guide s'adresse au propriétaire du site : comment identifier la cause et la corriger.
Le tableau des erreurs de certificat
Les codes viennent de la liste officielle des erreurs réseau de Chromium (Chrome, Edge, Brave, Opera).
| Code | Définition Chromium | Cause la plus courante | Correction côté serveur |
|---|
ERR_CERT_DATE_INVALID (-201) | Le certificat n'est pas encore valide ou a expiré, selon l'horloge du navigateur | Renouvellement automatique en échec | Renouveler et recharger le serveur web |
ERR_CERT_COMMON_NAME_INVALID (-200) | Le nom du certificat ne correspond pas au nom d'hôte | www ou un sous-domaine absent du certificat | Réémettre avec tous les noms dans le SAN |
ERR_CERT_AUTHORITY_INVALID (-202) | Certificat signé par une autorité non reconnue | Certificat auto-signé, ou chaîne intermédiaire manquante | Certificat d'une autorité publique, chaîne complète |
ERR_CERT_REVOKED (-206) | Le certificat a été révoqué | Révocation après compromission de clé ou erreur d'émission | Réémettre un nouveau certificat |
ERR_CERT_WEAK_SIGNATURE_ALGORITHM (-208) | Algorithme de signature trop faible | Très ancien certificat (SHA-1) | Réémettre avec un algorithme actuel |
ERR_CERT_VALIDITY_TOO_LONG (-213) | Durée de validité trop longue | Certificat privé ou ancien d'une durée excessive | Certificat d'une durée conforme |
ERR_SSL_VERSION_OR_CIPHER_MISMATCH (-113) | Aucune version de protocole ou suite de chiffrement commune | Serveur limité à de vieilles versions de TLS | Activer TLS 1.2 et 1.3 |
Firefox et Safari affichent des messages différents pour les mêmes causes, par exemple SEC_ERROR_EXPIRED_CERTIFICATE ou SSL_ERROR_BAD_CERT_DOMAIN dans Firefox. Le diagnostic reste le même.
Premier réflexe : tester depuis l'extérieur
Avant de toucher au serveur, vérifiez si l'erreur est générale. Testez votre domaine avec le SSL checker : il affiche les dates de validité, les noms couverts et la chaîne servie. Si tout est valide et qu'un seul visiteur voit l'erreur, le problème vient de son poste (voir plus bas).
Depuis un terminal, openssl donne les mêmes informations :
openssl s_client -connect votre-domaine.fr:443 -servername votre-domaine.fr </dev/null 2>/dev/null \
| openssl x509 -noout -subject -issuer -dates -ext subjectAltName
Exemple de sortie :
subject=CN=votre-domaine.fr
issuer=C=US, O=Let's Encrypt, CN=R11
notBefore=Aug 12 08:14:03 2026 GMT
notAfter=Nov 10 08:14:02 2026 GMT
X509v3 Subject Alternative Name:
DNS:votre-domaine.fr
Ici, deux informations ressortent : la date de fin (notAfter) et la liste des noms (DNS:). Le paramètre -servername est indispensable : sans lui, un serveur qui héberge plusieurs sites peut renvoyer le certificat d'un autre domaine.
ERR_CERT_DATE_INVALID : certificat expiré
Avec Let's Encrypt, les certificats durent 90 jours et se renouvellent automatiquement. Quand le renouvellement échoue, personne ne le remarque jusqu'à l'expiration.
Causes habituelles d'échec du renouvellement :
- le client ACME (Certbot, acme.sh, module de l'hébergeur) n'est plus planifié après une migration de serveur ;
- la validation HTTP échoue : redirection mal configurée, règle de pare-feu, fichier
.htaccess qui bloque /.well-known/acme-challenge/ ;
- les DNS pointent vers un autre serveur que celui qui demande le certificat ;
- le certificat est renouvelé sur le disque, mais le serveur web n'a pas été rechargé et sert toujours l'ancien.
Correction avec Certbot :
sudo certbot renew --dry-run
sudo certbot renew
sudo systemctl reload nginx # ou apache2
La durée des certificats va encore baisser. Les règles du CA/Browser Forum fixent un maximum de 200 jours depuis le 15 mars 2026, puis de 47 jours en 2029. Let's Encrypt prévoit de passer ses certificats par défaut à 64 jours en février 2027, puis à 45 jours en février 2028. Les renouvellements seront plus fréquents, donc les occasions d'échec aussi. Voir certificats SSL de 47 jours : ce qui change.
Quand c'est l'horloge du visiteur
Le navigateur compare les dates du certificat à l'heure de l'ordinateur. Un PC dont la date est fausse (pile de carte mère usée, réglage manuel) affiche ERR_CERT_DATE_INVALID sur presque tous les sites HTTPS. Si votre certificat est valide pour le SSL checker, demandez au visiteur de vérifier la date et l'heure de son appareil.
ERR_CERT_COMMON_NAME_INVALID : nom absent du certificat
Le navigateur vérifie que le nom tapé dans la barre d'adresse figure dans le champ SAN (Subject Alternative Name) du certificat. Le champ Common Name n'est plus utilisé par Chrome pour cette vérification. Cas typiques :
| Nom visité | Noms du certificat | Résultat |
|---|
www.votre-domaine.fr | votre-domaine.fr | Erreur |
votre-domaine.fr | *.votre-domaine.fr | Erreur : le wildcard ne couvre pas le domaine nu |
a.b.votre-domaine.fr | *.votre-domaine.fr | Erreur : le wildcard couvre un seul niveau |
boutique.votre-domaine.fr | certificat de l'hébergeur (*.hebergeur.net) | Erreur : le site n'est pas configuré en HTTPS sur ce nom |
Correction : réémettez un certificat qui couvre tous les noms utilisés. Avec Certbot :
sudo certbot --nginx -d votre-domaine.fr -d www.votre-domaine.fr
Chez un hébergeur mutualisé, ajoutez le nom manquant (souvent www) dans la gestion des domaines ou des certificats, puis régénérez le certificat. Vérifiez aussi les redirections : une redirection de votre-domaine.fr vers www exige un certificat valable pour les deux noms, car elle intervient après la négociation TLS. Le vérificateur de redirections montre chaque étape.
ERR_CERT_AUTHORITY_INVALID : autorité inconnue ou chaîne incomplète
Trois situations produisent cette erreur.
1. Certificat auto-signé ou de test
Un certificat généré par le serveur lui-même, ou le certificat par défaut d'un panneau d'administration, n'est reconnu par aucun navigateur. Remplacez-le par un certificat d'une autorité publique : Let's Encrypt est gratuit et intégré chez la plupart des hébergeurs.
2. Chaîne de certification incomplète
Le serveur doit envoyer son certificat suivi du ou des certificats intermédiaires. Si l'intermédiaire manque, certains clients reconstituent la chaîne en le téléchargeant, d'autres échouent. Le site peut donc fonctionner dans Chrome sur ordinateur et échouer ailleurs : certaines applications mobiles, curl, des appels d'API ou des webhooks. Vérifiez la chaîne envoyée :
openssl s_client -connect votre-domaine.fr:443 -servername votre-domaine.fr -showcerts </dev/null
Vous devez voir au moins deux blocs -----BEGIN CERTIFICATE-----. Un seul bloc signifie que l'intermédiaire manque. Avec Nginx, utilisez fullchain.pem et non cert.pem dans ssl_certificate.
3. Interception par un antivirus ou un proxy
Certains antivirus et proxys d'entreprise inspectent le trafic HTTPS en substituant leur propre certificat. Si l'erreur n'apparaît que sur un réseau ou un poste donné, la cause est là, pas sur votre serveur.
Erreur chez un seul visiteur ou chez tout le monde ?
| Constat | Origine probable |
|---|
| Erreur partout, SSL checker en erreur | Serveur : certificat, noms ou chaîne |
| Erreur sur un seul appareil, date fausse | Horloge du visiteur |
| Erreur sur un seul réseau | Proxy, pare-feu ou antivirus qui intercepte HTTPS |
Erreur seulement sur www ou un sous-domaine | Nom absent du SAN |
| OK dans Chrome, erreur dans une appli ou une API | Chaîne intermédiaire incomplète |
Les conséquences pour le site
La page d'erreur bloque le visiteur : il doit cliquer sur des options avancées pour continuer, et la plupart repartent. Si le site utilise HSTS, le navigateur ne propose même plus de continuer. Les formulaires, les paiements et les appels d'API échouent aussi. Les effets sur la confiance et le référencement sont détaillés dans certificat SSL expiré : conséquences SEO, business et sécurité.
Être prévenu avant l'erreur
Une erreur de date se prévient facilement si vous êtes averti assez tôt. Notre article alerte expiration certificat SSL : combien de jours avant ? donne les délais à prévoir. Domains Defender surveille les certificats SSL de vos domaines, dès l'offre gratuite, et envoie des alertes à J-30, J-7 et J-1 sur les plans payants. Le détail est sur la page tarifs.
Questions fréquentes
Que signifie NET::ERR_CERT_DATE_INVALID ?
Le certificat du site est expiré ou pas encore valide selon l'horloge de l'appareil. Si l'erreur touche tous les visiteurs, renouvelez le certificat et rechargez le serveur web. Si elle touche un seul appareil, corrigez sa date et son heure.
Comment corriger ERR_CERT_COMMON_NAME_INVALID ?
Le nom visité n'est pas dans le certificat, très souvent la version www ou un sous-domaine. Réémettez le certificat en incluant tous les noms utilisés, puis vérifiez avec un SSL checker.
ERR_CERT_AUTHORITY_INVALID : mon site est-il piraté ?
Rarement. La cause habituelle est un certificat auto-signé ou une chaîne intermédiaire manquante sur le serveur. Si l'erreur n'apparaît que sur un réseau, un proxy ou un antivirus intercepte le trafic.
« Votre connexion n'est pas privée » : le visiteur peut-il continuer ?
Chrome propose parfois de continuer via les paramètres avancés, sauf si le site utilise HSTS. Ne demandez pas à vos clients de contourner l'avertissement : corrigez le certificat.