Le cadenas de votre site, celui qui rassure vos visiteurs et que Google prend en compte, repose sur un certificat SSL/TLS. Et ce certificat a désormais une durée de vie de plus en plus courte. Depuis le 15 mars 2026, un certificat public ne peut plus être émis pour plus de 200 jours, contre 398 auparavant. La prochaine marche arrive vite : 100 jours au 15 mars 2027, puis 47 jours en 2029.
En parallèle, Let’s Encrypt, l’autorité gratuite qui délivre une grande partie des certificats du web, va réduire ses certificats de 90 à 64 jours en février 2027, puis à 45 jours en février 2028. Autrement dit : le renouvellement « à la main une fois par an » est en train de disparaître. Voici ce que cela change, et la méthode que nous appliquons chez Weobia pour ne laisser aucun certificat expirer.
Le calendrier à retenir
Ce calendrier a été voté en 2025 par le CA/Browser Forum, l’instance qui réunit les autorités de certification et les éditeurs de navigateurs. Il s’applique à tous les certificats publics, gratuits comme payants.
| Date d’effet | Durée maximale d’un certificat | Réutilisation maximale de la validation du domaine |
|---|---|---|
| Avant le 15 mars 2026 | 398 jours | 398 jours |
| 15 mars 2026 | 200 jours | 200 jours |
| 15 mars 2027 | 100 jours | 100 jours |
| 15 mars 2029 | 47 jours | 10 jours |
Côté Let’s Encrypt, le profil par défaut passera à 64 jours le 10 février 2027 (avec une réutilisation de l’autorisation de domaine ramenée à 10 jours), puis à 45 jours le 16 février 2028 (réutilisation de l’autorisation : 7 heures). Un profil optionnel délivre déjà des certificats de 45 jours depuis le 13 mai 2026, pour ceux qui veulent tester en avance.
Pourquoi raccourcir la durée de vie ?
Un certificat lie un nom de domaine à une clé. Si cette clé fuite, ou si le domaine change de main, le certificat reste valide jusqu’à son expiration : les mécanismes de révocation existent, mais ils sont peu fiables en pratique. Plus la durée de vie est courte, plus la fenêtre d’exposition se réduit. C’est aussi un moyen de forcer l’automatisation, qui permettra demain de changer d’algorithme ou d’autorité très rapidement si nécessaire.
Qui est vraiment concerné ?
- Les certificats achetés et installés à la main (DV, OV ou EV) : c’est le cas le plus à risque. Un renouvellement manuel tous les 100 jours, puis tous les mois et demi, devient intenable.
- Les équipements « oubliés » : serveur de messagerie, NAS, extranet, VPN, interface d’administration d’un routeur, keystore Java d’une application métier… Ils ont souvent un certificat posé une fois et jamais automatisé.
- Les certificats Let’s Encrypt « automatisés » : ils sont mieux armés, mais un cron réglé en dur sur « tous les 60 jours » cassera avec des certificats de 45 jours.
- Les validations DNS manuelles : avec une réutilisation limitée à quelques jours (voire quelques heures chez Let’s Encrypt), chaque renouvellement nécessitera une nouvelle preuve de contrôle du domaine.
Notre méthode en quatre étapes
1. Inventorier tous les certificats
On ne protège bien que ce que l’on connaît. Première étape : lister chaque nom (www, boutique, extranet, mail, API…) et vérifier son émetteur et sa date d’expiration. Une commande suffit :
echo | openssl s_client -connect www.exemple.fr:443 -servername www.exemple.fr 2>/dev/null \
| openssl x509 -noout -issuer -enddatePour un serveur de messagerie, remplacez le port et ajoutez -starttls smtp (port 587) ou utilisez le port 993 pour IMAPS.
2. Automatiser avec ACME (et ARI)
Le protocole ACME permet à un serveur de demander et d’installer lui-même son certificat. Sur un serveur Linux, Certbot reste l’outil de référence. Depuis la version 4.1.0 (juin 2025), certbot renew interroge automatiquement ARI (ACME Renewal Information, RFC 9773) : c’est l’autorité qui indique quand renouveler, au lieu d’une date figée dans une configuration.
# Vérifier la version installée (4.1.0 minimum pour ARI)
certbot --version
# Vérifier que le timer de renouvellement est actif
systemctl list-timers | grep certbot
# Simuler un renouvellement complet
sudo certbot renew --dry-runN’oubliez pas le rechargement du service après renouvellement, sinon le serveur continue de présenter l’ancien certificat. Un script placé dans le dossier des hooks de déploiement s’en charge :
# /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
#!/bin/sh
systemctl reload nginxSi votre client ACME ne gère pas ARI, la recommandation de Let’s Encrypt est simple : renouveler aux deux tiers de la durée de vie du certificat, jamais à intervalle fixe. Sur un hébergement mutualisé, le panneau d’administration (Plesk, cPanel…) gère généralement ce renouvellement : vérifiez simplement que l’option est bien activée pour chaque domaine et sous-domaine.
3. Surveiller, car plus personne ne vous préviendra
Let’s Encrypt a arrêté ses e-mails d’alerte d’expiration le 4 juin 2025. Si un renouvellement échoue silencieusement, vous ne l’apprendrez que par un visiteur… ou par la chute de vos ventes. Une supervision externe est indispensable. Voici un petit script, à lancer chaque jour, qui alerte quand un certificat expire dans moins de 10 jours (avec des certificats de 45 jours renouvelés aux deux tiers, il en reste normalement une quinzaine) :
#!/usr/bin/env bash
SEUIL=$((10 * 86400))
for d in www.exemple.fr boutique.exemple.fr extranet.exemple.fr; do
if ! echo | openssl s_client -connect "$d:443" -servername "$d" 2>/dev/null \
| openssl x509 -noout -checkend "$SEUIL" >/dev/null; then
echo "ALERTE : le certificat de $d expire dans moins de 10 jours"
fi
done4. Préparer la validation DNS
Pour les certificats wildcard (*.exemple.fr) ou les serveurs non accessibles depuis Internet, la validation passe par un enregistrement DNS. Avec des autorisations valables quelques jours seulement, ce n’est plus envisageable à la main : il faut un hébergeur DNS qui propose une API, et un client ACME configuré pour l’utiliser. À surveiller également : la future méthode DNS-PERSIST-01, qui permettra de poser un enregistrement TXT une fois pour toutes plutôt qu’à chaque renouvellement.
Notre conseil
Profitez des mois qui restent avant mars 2027 pour faire l’inventaire. Le jour où les certificats ne dureront plus qu’un mois et demi, chaque équipement non automatisé deviendra une panne programmée.
Besoin d’un coup de main ?
Vous ne savez pas combien de certificats tournent dans votre entreprise, ni lesquels sont renouvelés automatiquement ? Nous pouvons réaliser cet audit et mettre en place l’automatisation et la supervision. Contactez notre équipe, nous vous répondons rapidement.
Sources
À lire aussi
