Les certificats expirés ne se trouvent pas que sur vos sites web. Ils se cachent dans les imprimantes, les caméras IP, les cartes d’onduleurs, les BMC des serveurs, les hyperviseurs, les répartiteurs de charge et les interfaces d’administration des équipements réseau, là où aucun gestionnaire de certificats ne regarde. ConnectMyAssets lit le certificat de chaque service TLS trouvé par nos scans réseau, repère chaque certificat expiré, proche de l’expiration ou auto-signé, et vous alerte avant l’échéance, avec le délai que vous choisissez.
Demander une démoUn certificat qui expire sur un répartiteur de charge, un serveur LDAPS ou un hyperviseur interrompt du jour au lendemain les intégrations, les connexions et les sauvegardes. Recevez l’alerte des semaines avant, avec l’hôte, le port et la date de fin, et renouvelez à temps.
Imprimantes, caméras, cartes d’onduleurs et BMC sont livrées avec des certificats auto-signés qui habituent les utilisateurs à ignorer les avertissements du navigateur. Listez-les tous, décidez lesquels remplacer par des certificats de votre autorité et suivez l’avancement.
Trouvez chaque service qui négocie encore TLS 1.0 ou 1.1, chaque clé RSA trop courte et chaque algorithme de signature dépassé avec une règle écrite en quelques conditions.
Signalez chaque certificat qui n’a pas été émis par votre autorité interne, et chaque certificat wildcard déployé là où il ne devrait pas l’être.
Présentez aux auditeurs un inventaire daté des certificats présentés sur le réseau et des alertes traitées, une preuve utile pour les contrôles NIS2 et ISO 27001 sur la cryptographie.
Ni outil séparé ni liste d’URL à entretenir : chaque service TLS trouvé par la découverte sur un port audité est lu, enregistré et évalué.
Pour chaque port TLS : sujet, nom commun, noms alternatifs, émetteur, dates de validité, auto-signé ou non, type et taille de clé, algorithme de signature et version TLS négociée (1.0 à 1.3).
Chaque certificat dont la date de fin est dépassée déclenche une alerte qui nomme l’hôte, le port et la date. L’alerte se ferme d’elle-même lorsque le service présente de nouveau un certificat valide.
Choisissez combien de jours avant la date de fin vous voulez être prévenu : 30 par défaut, de 1 à 730 jours. Adaptez le délai par groupe d’équipements réseau, par exemple plus long là où un renouvellement demande une fenêtre de changement.
Un certificat signé par sa propre clé, et non par une autorité de certification, est signalé sur chaque port où il est présenté : vous savez précisément quelles interfaces utilisent encore un certificat d’usine.
Écrivez vos propres conditions sur l’émetteur, le sujet et les noms alternatifs, les dates, la clé, l’algorithme de signature, la version TLS, le service et le port : « émetteur différent de notre autorité racine », « TLS 1.0 ou 1.1 », « wildcard sur le port 443 ».
Les contrôles de certificats couvrent les équipements de votre inventaire et, si vous le souhaitez, tous les hôtes trouvés par la découverte, équipements non gérés compris : imprimantes, caméras, onduleurs, BMC, appliances pour lesquelles vous n’avez aucun identifiant.
Une alerte par hôte et par port dans Soron : accusez réception, assignez, résolvez ou mettez en sourdine, ajoutez une exception avec une date de fin et prévenez la bonne équipe dans l’application, par e-mail, syslog ou webhook.
Les certificats sont contrôlés après chaque scan, puis toutes les cinq minutes : un certificat qui atteint sa date de fin entre deux scans est signalé sans attendre le suivant.
Pour les ingénieurs sécurité : d’où viennent les certificats, ce qui est contrôlé et ce qui ne l’est pas.
Quand un scan trouve un port audité ouvert, l’identification envoie un ClientHello TLS et enregistre le certificat présenté par le service et la version négociée. HTTPS, LDAPS, IMAPS, WinRM sur TLS et les ports alternatifs comme 8443 ou 9443 sont couverts dès qu’ils sont activés.
ConnectMyAssets enregistre ce qui est présenté et rapporte des faits : dates, émetteur, auto-signé. Il ne prend aucune décision de confiance, si bien qu’un certificat de votre autorité privée n’est jamais pris pour une erreur.
Les scans conservent le certificat serveur de chaque port. Pour examiner la chaîne complète d’un service, l’outil Certificat de la boîte à outils de l’hôte affiche chaque certificat, ses noms alternatifs, sa clé et son algorithme de signature.
Un certificat expire avec le seul passage du temps. Les détecteurs sont évalués après chaque scan, toutes les cinq minutes et chaque jour sur tout leur périmètre, et une alerte se rouvre si un certificat expiré ou auto-signé revient.
Les ports d’imprimante et des protocoles industriels sont pré-identifiés et exclus des audits par défaut. Si vous les activez, ils ne reçoivent jamais de ClientHello : l’identification s’y contente d’écouter. Les règles de scan décident, sous-réseau par sous-réseau, si les ports sont audités.
Activez 443, 8443, 636 et les autres ports TLS à auditer.
Lancez ou planifiez un scan : chaque certificat présenté est lu et enregistré.
Choisissez le délai d’alerte, le périmètre et vos règles de certificats.
Renouvelez le certificat : l’alerte se ferme au scan suivant qui voit le nouveau.
Pour préparer votre projet et préciser votre périmètre.
Activez les ports TLS à auditer (443, 8443, 636...) et lancez un scan réseau. ConnectMyAssets lit le certificat de chaque service TLS trouvé et déclenche une alerte pour chaque certificat expiré, avec l’hôte, le port et la date de fin. Aucune liste d’URL à entretenir : chaque équipement qui répond est couvert.
Un certificat auto-signé est signé par sa propre clé et non par une autorité de certification. Les navigateurs ne peuvent pas le vérifier : les utilisateurs prennent l’habitude d’accepter les avertissements, ce qui rend une interception plus difficile à repérer. ConnectMyAssets liste chaque certificat auto-signé présenté sur votre réseau pour que vous remplaciez ceux qui comptent.
Vous fixez le délai, de 1 à 730 jours avant la date de fin, 30 jours par défaut. Les règles sont définies par groupe d’équipements réseau : chaque équipe peut travailler avec son propre délai.
Tout hôte IPv4 atteint par vos scans et tout port TCP que vous auditez : imprimantes, caméras IP, cartes d’onduleurs, BMC de serveurs, hyperviseurs, répartiteurs de charge, pare-feu et switchs, serveurs web et d’annuaire. Les hôtes qui ne peuvent pas être collectés en SSH sont aussi couverts lorsque vous étendez la règle à tous les hôtes trouvés.
Non. Un certificat est présenté à quiconque ouvre une connexion TLS : ConnectMyAssets le lit depuis le réseau, sans agent et sans connexion authentifiée.
Oui. La version TLS négociée est enregistrée pour chaque port, et une règle sur mesure comme « version TLS égale à 1.0 ou 1.1 » déclenche une alerte pour chaque service concerné. Les mêmes règles fonctionnent sur la taille de clé et l’algorithme de signature.
Les scans enregistrent le certificat serveur de chaque port et rapportent des faits (dates, émetteur, auto-signé) sans juger de la confiance. L’outil Certificat de la boîte à outils de l’hôte affiche la chaîne complète d’un service quand vous devez l’examiner.
Non. ConnectMyAssets audite et alerte ; le renouvellement reste du ressort de votre PKI et de vos outils habituels. Une fois le certificat renouvelé, le scan suivant le voit et l’alerte se ferme d’elle-même.
Découvrez ce que ConnectMyAssets peut changer pour votre équipe. Sur votre infrastructure, avec vos contraintes.
Organiser une démonstration