--- title: "Qualys SSL Labs ou KrakenShield : obtenir A+ et le garder" description: "SSL Labs est la référence du test SSL gratuit et ponctuel ; KrakenShield ajoute en-têtes, historique, relance et badge." url: https://krakenshield.eu/fr/knowledge/blog/ssl-labs-ou-krakenshield-test-ssl/ lang: fr updated: 2026-11-12 publisher: KrakenShield (KRAKEN HOLDING SAS) overview: https://krakenshield.eu/llms.txt --- # Qualys SSL Labs ou KrakenShield : obtenir A+ et le garder > SSL Labs est la référence du test SSL gratuit et ponctuel ; KrakenShield ajoute en-têtes, historique, relance et badge. Guide Publié le 12 novembre 2026 Le SSL Server Test de Qualys SSL Labs est la référence mondiale pour noter la configuration HTTPS d’un site, de A+ à F. Il est gratuit et très détaillé. Mais une note se perd : un certificat renouvelé, un serveur migré, un en-tête oublié. Voici ce que fait chaque outil, et comment obtenir A+ puis le garder. Par **Nestor** 8 min de lecture Votre prestataire vous envoie une capture d’écran : un grand « A+ » vert, signé SSL Labs. Six mois plus tard, un client vous signale un avertissement dans son navigateur. Entre-temps, le certificat a été renouvelé, l’hébergeur a migré le serveur et personne n’a refait le test. La note était juste le jour où elle a été prise. Elle ne disait rien du lendemain. Ce comparatif fait partie de notre série mensuelle où nous mettons KrakenShield face aux grands outils du marché. La règle de la série : comparer ce qui est comparable, dire où l’autre outil est meilleur, et à qui il convient. ## Qualys SSL Labs en bref SSL Labs est un projet de recherche non commercial porté par Qualys, éditeur américain de solutions de sécurité dans le cloud, qui commercialise par ailleurs des produits pour les grandes organisations, comme VMDR pour la gestion des vulnérabilités. Le service le plus connu de SSL Labs est le SSL Server Test : vous saisissez un nom de domaine, il analyse en profondeur la configuration HTTPS du serveur et attribue une note de A+ à F. Sa force tient à sa grille de notation, le « SSL Server Rating Guide », publiée et mise à jour. La note combine trois scores pondérés : protocoles (30 %), échange de clés (30 %) et force du chiffrement (40 %), puis applique des plafonds. Deux notes spéciales signalent les problèmes de certificat : T quand il n’est pas reconnu, M quand il ne couvre pas le nom du site. 6 mois *durée minimale de l’en-tête HSTS exigée pour la note A+* Source : Qualys SSL Labs, SSL Server Rating Guide 2009r La version 2009r de la grille, publiée le 16 mai 2025, a durci les règles : sans [HSTS](https://krakenshield.eu/fr/knowledge/glossary/hsts/) valide ou sans TLS 1.3, la note est ramenée à A-. Depuis 2020, accepter encore TLS 1.0 ou 1.1 la plafonne à B. > **Cochez la case avant de lancer** > Cochez la case avant de lancer > > Par défaut, le SSL Server Test peut afficher votre domaine dans ses listes publiques des derniers sites testés, des meilleurs et des pires. Cochez « Do not show the results on the boards » si vous ne voulez pas y figurer. Pensez aussi au bouton « Clear cache » après une correction : sinon, vous relisez l’ancien résultat. ## Où SSL Labs gagne, sans discussion Soyons honnêtes : pour un contrôle ponctuel, SSL Labs est difficile à battre. - **Gratuit et sans compte.** Un domaine, un clic, un rapport. Aucune inscription, aucun engagement. Pour vérifier un site en deux minutes, c’est imbattable. - **La référence reconnue.** Quand un auditeur, un client ou un assureur parle d’« A+ », il pense à SSL Labs. Sa grille publiée sert de langage commun à toute la profession. - **La simulation de connexion.** Le rapport simule la poignée de main TLS de dizaines de navigateurs, systèmes et bibliothèques, anciens et récents. Vous savez si un vieux terminal Android ou une application Java pourra encore se connecter après avoir retiré un protocole. KrakenShield ne fait pas cette simulation. - **Le détail protocolaire.** Chaque suite de chiffrement, chaque extension, chaque certificat de la chaîne est listé. Pour un administrateur qui affine sa configuration, c’est une mine. - **Des API.** Qualys propose des API gratuites, avec des restrictions, pour automatiser des tests réguliers. > **Nestor Ancien hacker, passé en défense:** SSL Labs, je l’utilise depuis des années, et je le recommande. Quand je veux savoir pourquoi un vieux client métier ne se connecte plus, la simulation de poignée de main me répond en dix secondes. ## Ce que SSL Labs ne cherche pas à faire Le SSL Server Test répond à une question : « Ce serveur est-il bien configuré en TLS, aujourd’hui ? » Il n’a pas vocation à aller plus loin. - **Le reste des en-têtes.** HSTS compte dans la note, mais les autres en-têtes de sécurité (Content-Security-Policy, X-Frame-Options, Referrer-Policy) n’entrent pas dans la grille. - **Le contexte du domaine.** La messagerie (SPF, DMARC) et les sous-domaines visibles publiquement ne font pas partie du test. - **Le suivi.** Sans compte, pas d’historique personnel, pas de comparaison entre deux analyses, pas de relance si la note baisse. - **Les corrections.** Le rapport dit ce qui ne va pas. Savoir quelle ligne changer dans Apache ou Nginx reste votre travail. C’est logique : ce n’est pas son rôle. Mais c’est précisément là que se perd une note A+. ## Ce que fait l’audit SSL/TLS de KrakenShield L’audit SSL/TLS de KrakenShield ne cherche pas à remplacer SSL Labs. Il reprend sa méthode de notation et ajoute ce qu’il faut pour garder la note dans le temps. - **La même méthode de notation.** L’analyse s’appuie sur le moteur libre [testssl.sh](https://krakenshield.eu/fr/knowledge/glossary/testssl-sh/) , à jour, et calcule une note de A+ à F selon la méthode SSL Labs. Les règles de la version 2009r sont appliquées : HSTS absent ou sans TLS 1.3, la note est ramenée à A- ; A+ exige HSTS sur au moins 180 jours. - **Le certificat et les protocoles.** Validité, chaîne de certification, noms couverts, taille de clé, date d’expiration, versions de SSL 2 à TLS 1.3, suites de chiffrement, confidentialité persistante et failles TLS connues. - **Les en-têtes de sécurité.** Redirection vers HTTPS, HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy et version du serveur divulguée. - **L’empreinte publique.** Enregistrements DNS, SPF et DMARC, sous-domaines visibles publiquement. - **Des corrections expliquées.** Chaque constat est classé par gravité, avec sa correction et des exemples de configuration Apache et Nginx, dans la console et en PDF à transmettre à votre hébergeur. - **Non intrusif.** Quelques connexions TLS et requêtes HTTP, comme un navigateur. Tout site public peut être audité, sans vérification de propriété. Pour les cookies et les traceurs, un audit de confidentialité distinct observe ce que votre page d’accueil dépose avant tout choix, après refus et après acceptation. ## Garder A+ : le suivi dans le temps C’est là que les deux approches divergent vraiment. - **L’historique.** Chaque audit reste dans votre console. Vous pouvez comparer deux audits du même domaine pour voir ce qui a été corrigé et ce qui est apparu. - **La relance.** Si un audit donne une note inférieure à A-, un e-mail vous est envoyé trois jours plus tard pour vous inviter à corriger et à relancer l’audit. Si vous l’avez déjà relancé, rien n’est envoyé. - **Le rapport public et le badge.** Pour un domaine dont vous avez prouvé la propriété, vous pouvez publier un lien vers une version réduite du rapport (note, faits clés, sans adresse IP ni constats bruts) et un badge à afficher sur votre site. Le badge passe au gris « à renouveler » au bout de 90 jours : une vieille note ne prouve plus rien. - **Les assistants IA.** Un serveur MCP public propose l’outil check\_ssl : une vérification rapide du certificat et des en-têtes, sans note, depuis un assistant compatible. > **Belinda Docteure en cryptographie:** Une note TLS a une date de péremption. Le certificat est renouvelé, l’hébergeur migre sans prévenir, la grille se durcit. Ce que je veux, c’est savoir quand la note baisse, pas le découvrir par un client. ## Face à face | | Qualys SSL Labs | KrakenShield | | --- | --- | --- | | **Nature** | Service de test en ligne, projet de recherche | Plateforme d’audit en ligne, avec console | | **Accès** | Gratuit, sans compte | Compte requis, coût affiché avant chaque audit | | **Notation** | Grille SSL Server Rating Guide, A+ à F | Même méthode, moteur testssl.sh | | **Simulation de clients** | Oui, dizaines de navigateurs et systèmes | Non | | **Détail protocolaire** | Très poussé | Synthèse orientée correction | | **En-têtes de sécurité** | HSTS seulement dans la note | HSTS, CSP, X-Frame-Options, Referrer-Policy et autres | | **DNS et e-mail** | Hors périmètre | SPF, DMARC, sous-domaines visibles | | **Corrections** | À trouver soi-même | Expliquées, exemples Apache et Nginx | | **Rapport** | Page web | Console et PDF | | **Suivi** | Aucun historique personnel | Historique, comparaison, relance sous A- | | **Preuve publique** | Listes publiques facultatives | Rapport public et badge, domaine vérifié | ## Les combiner : la bonne pratique Les deux outils ne s’excluent pas. Le schéma le plus efficace : - Un audit complet avec suivi (TLS, en-têtes, DNS et e-mail) chaque mois et après chaque changement de serveur ou d’hébergeur. - Un passage sur SSL Labs avant de retirer un protocole ou une suite de chiffrement, pour vérifier dans la simulation qu’aucun client important ne sera coupé. - Le renouvellement automatique du certificat, vérifié par un audit dans les jours qui suivent. - Un contre-test après chaque correction, avec le cache vidé côté SSL Labs. - Les en-têtes de sécurité traités à part, une fois TLS propre : ils comptent autant pour vos visiteurs. Pour mettre en place ces en-têtes pas à pas, lisez la page [audit de surface](https://krakenshield.eu/fr/surface-audit/), qui détaille chaque en-tête vérifié, et le chapitre [Le chiffrement sans maths](https://krakenshield.eu/fr/knowledge/a-to-z/08-encryption-explained/) de « Cyber de A à Z ». ## Notre lecture - **Vous administrez des serveurs et voulez comprendre une configuration en détail** : SSL Labs est votre outil, gratuit, et sa simulation de clients n’a pas d’équivalent chez nous. - **Vous dirigez une PME ou une agence web** et voulez qu’A+ reste A+ : un audit suivi, avec relance et corrections expliquées, vous évite de redécouvrir le problème par un client. - **Vous devez prouver votre niveau** à un client, un assureur ou un donneur d’ordre : combinez les deux, SSL Labs comme référence reconnue, et un rapport daté, publiable, renouvelé régulièrement. L’[audit SSL/TLS de KrakenShield](https://krakenshield.eu/fr/website-security-check/) note votre site de A+ à F en quelques minutes et vous dit quoi corriger en premier. Pour comprendre ce que mesure vraiment une note TLS, du certificat à HSTS, lisez le chapitre [Le chiffrement sans maths](https://krakenshield.eu/fr/knowledge/a-to-z/08-encryption-explained/) de « Cyber de A à Z ». *Qualys est une marque de Qualys, Inc. ; SSL Labs est un service de Qualys, Inc. Les marques citées appartiennent à leurs titulaires respectifs. Comparatif établi d’après la documentation publique des outils en octobre 2026.* ## À retenir 1. Le SSL Server Test de Qualys SSL Labs est gratuit, sans compte, et sa grille de notation publiée fait référence. Pour un contrôle ponctuel et une analyse technique fine, il est excellent. 2. KrakenShield note la configuration TLS selon la même méthode, avec le moteur libre testssl.sh, et y ajoute les en-têtes de sécurité, l’empreinte DNS et e-mail, et des corrections expliquées. 3. La différence tient au suivi : historique des audits, comparaison de deux audits, relance par e-mail si la note reste sous A-, rapport public et badge pour un domaine vérifié. 4. SSL Labs garde l’avantage sur la simulation de connexion de dizaines de navigateurs et d’appareils, et sur le niveau de détail protocolaire. 5. Une note A+ n’est pas acquise : elle dépend du certificat, de HSTS et des protocoles, qui changent à chaque migration ou renouvellement. Il faut la revérifier. ## Questions fréquentes **SSL Labs est-il gratuit ?** Oui. Le SSL Server Test est un service en ligne gratuit, sans inscription, qui analyse n’importe quel serveur HTTPS public. Qualys propose aussi des API gratuites, avec des restrictions décrites dans ses conditions d’utilisation. **Que faut-il pour obtenir A+ chez SSL Labs ?** D’après la grille publiée (version 2009r de mai 2025) : une configuration sans avertissement et l’en-tête HSTS avec une durée d’au moins 6 mois. Sans HSTS ou sans TLS 1.3, la note est ramenée à A-. Accepter encore TLS 1.0 ou 1.1 la plafonne à B. **KrakenShield donne-t-il la même note que SSL Labs ?** La note suit la méthode publiée par SSL Labs, y compris les règles récentes sur HSTS et TLS 1.3. Les deux outils peuvent différer à la marge selon la date de l’analyse et les tests disponibles. Un écart d’un cran mérite de relire les facteurs qui plafonnent la note. **Pourquoi ma note a-t-elle baissé sans que je touche à rien ?** Les grilles évoluent (TLS 1.0 et 1.1 plafonnés à B depuis 2020, HSTS et TLS 1.3 pris en compte depuis 2025), et votre hébergeur peut changer la configuration lors d’une migration ou d’un renouvellement de certificat. D’où l’intérêt de relancer le test régulièrement. **Puis-je tester le site d’un fournisseur ?** Oui avec les deux outils : ils n’utilisent que des connexions qu’un navigateur pourrait établir. Chez KrakenShield, seule la publication d’un rapport public et d’un badge exige que le domaine vous appartienne. ## Sources - [Qualys SSL Labs, SSL Server Test](https://www.ssllabs.com/ssltest/) - [Qualys SSL Labs, SSL Server Rating Guide (version 2009r)](https://github.com/ssllabs/research/wiki/SSL-Server-Rating-Guide) - [Qualys SSL Labs, API](https://www.ssllabs.com/projects/ssllabs-apis/index.html) - [Qualys SSL Labs, documentation de l’API v4](https://github.com/ssllabs/ssllabs-scan/blob/master/ssllabs-api-docs-v4.md) - [Qualys SSL Labs, page de présentation et de contact](https://www.ssllabs.com/about/contact.html) - [Qualys, VMDR](https://www.qualys.com/apps/vulnerability-management-detection-response/) - [testssl.sh, site officiel](https://testssl.sh/) - [MDN Web Docs, Strict-Transport-Security](https://developer.mozilla.org/fr/docs/Web/HTTP/Headers/Strict-Transport-Security) [Pour aller plus loin**Le chiffrement sans maths** Cyber de A à Z, chapitre 8](https://krakenshield.eu/fr/knowledge/a-to-z/08-encryption-explained/) [Tous les articles](https://krakenshield.eu/fr/knowledge/blog/) ## Autres articles du blog [Guide **Test d’intrusion pour une PME : pentest, prix, cadre légal et choix du prestataire**](https://krakenshield.eu/fr/knowledge/blog/test-intrusion-pentest-pme/) [Actualité **Les plus gros hackings de banques depuis 30 ans : de Citibank à Binance et au Crédit Mutuel Arkéa**](https://krakenshield.eu/fr/knowledge/blog/plus-gros-hackings-banques-30-ans/) [Guide **Scan post-quantique gratuit : votre site résistera-t-il aux ordinateurs quantiques ?**](https://krakenshield.eu/fr/knowledge/blog/scan-post-quantique-gratuit-site-web/)