❌ Erreur SSL/TLS "ERR_CERT_DATE_INVALID — Certificat expiré" — Causes et Solutions

# Voir la date d'expiration d'un site
echo | openssl s_client -connect monsite.fr:443 2>/dev/null | \
  openssl x509 -noout -dates

# Voir les certificats locaux et leur expiration
openssl x509 -in /etc/letsencrypt/live/monsite.fr/cert.pem -noout -dates
openssl x509 -in /etc/ssl/certs/mon-cert.pem -noout -dates

# Script de vérification multi-sites
for domain in monsite.fr blog.monsite.fr api.monsite.fr; do
  expiry=$(echo | openssl s_client -connect $domain:443 2>/dev/null | \
    openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2)
  echo "$domain expire le : $expiry"
done

# Certbot — voir tous les certificats gérés
certbot certificates

# Renouveler tous les certificats Certbot
certbot renew

# Forcer le renouvellement même si pas expiré
certbot renew --force-renewal

# Renouveler un domaine spécifique
certbot renew --cert-name monsite.fr

# Après renouvellement — recharger le serveur web
systemctl reload nginx
# ou
systemctl reload apache2

# Tester le renouvellement sans l'appliquer
certbot renew --dry-run

# Debug si le renouvellement échoue
certbot renew --dry-run --debug-challenges

# Méthode 1 : cron (classique)
crontab -e
# Ajouter :
0 3 * * * certbot renew --quiet && systemctl reload nginx

# Méthode 2 : systemd timer (recommandé Debian/Ubuntu)
# Vérifier que le timer est actif
systemctl status certbot.timer
systemctl enable certbot.timer

# Méthode 3 : cron système
cat /etc/cron.d/certbot
# Doit contenir quelque chose comme :
# 0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(43200))' && certbot -q renew

# Tester que le port 80 est accessible (requis pour Let's Encrypt HTTP challenge)
curl -I http://monsite.fr/.well-known/acme-challenge/test

# Si certificat auto-signé — regénérer
openssl req -x509 -newkey rsa:4096 -keyout /etc/ssl/private/mon-key.pem \
  -out /etc/ssl/certs/mon-cert.pem -days 365 -nodes \
  -subj "/CN=monsite.local/O=MonEntreprise/C=FR"

# Si certificat signé par une CA interne
# Générer une nouvelle CSR
openssl req -new -newkey rsa:4096 -nodes \
  -keyout mon-site.key -out mon-site.csr \
  -subj "/CN=monsite.fr/O=MonEntreprise/C=FR"

# Envoyer la CSR à votre CA pour signature
# Puis installer le nouveau certificat

# Nginx — recharger après changement
nginx -t && systemctl reload nginx

# Script d'alerte par email (à mettre en cron)
#!/bin/bash
DOMAIN="monsite.fr"
ALERT_DAYS=30
EXPIRY=$(echo | openssl s_client -connect $DOMAIN:443 2>/dev/null | \
  openssl x509 -noout -enddate | cut -d= -f2)
EXPIRY_EPOCH=$(date -d "$EXPIRY" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( ($EXPIRY_EPOCH - $NOW_EPOCH) / 86400 ))

if [ $DAYS_LEFT -lt $ALERT_DAYS ]; then
  echo "ALERTE: Certificat $DOMAIN expire dans $DAYS_LEFT jours !" | \
    mail -s "Certificat SSL expirant bientôt" admin@monentreprise.fr
fi

# Ou via Zabbix — item externe :
# zabbix_agentd -t ssl.cert.expiry[monsite.fr,443]