Les erreurs de certificat et leur sens

Les avertissements du navigateur sont souvent balayés d'un clic. C'est dommage, car chacun désigne un problème précis, et certains sont graves.

Les messages courants

« Le certificat a expiré. » Les certificats ont une durée de validité, aujourd'hui de quelques mois. Le plus souvent, c'est un oubli de renouvellement. Le chiffrement fonctionne toujours, mais plus rien ne garantit que le certificat n'a pas été révoqué entre-temps.

« Le nom ne correspond pas. » Le certificat couvre exemple.com alors que tu visites boutique.exemple.com. Parfois une erreur de configuration, parfois le signe qu'on te redirige ailleurs.

« Émetteur inconnu. » Le certificat n'est signé par aucune autorité reconnue par ton système. Sur un site public, c'est le message le plus inquiétant : il apparaît lorsqu'un équipement s'insère dans la connexion.

« Certificat auto-signé. » Le serveur a signé son propre certificat. Il n'atteste alors rien du tout — c'est une carte d'identité fabriquée maison.

Le réflexe à avoir

Contexte	Conduite à tenir
Site interne, machine de test dont tu maîtrises la configuration	Erreur souvent bénigne
Site public, banque, saisie d'un mot de passe	Arrête-toi

Sur un site public, une erreur de certificat pendant que tu saisis un mot de passe doit arrêter la manœuvre. Le seul cas où passer outre est raisonnable, c'est sur une machine dont tu maîtrises toi-même la configuration.

Pourquoi les avertissements sont brutaux

Les navigateurs ont délibérément rendu ces écrans pénibles à contourner : plusieurs clics, texte alarmant, bouton caché. Les études ont montré qu'un avertissement discret est ignoré par la quasi-totalité des gens.

C'est un choix de conception assumé, et il repose sur une asymétrie simple : le coût d'un faux positif est une minute d'agacement, celui d'un faux négatif est un mot de passe volé.