Certificats SSL/TLS : 200 jours de validité au maximum, et ce n’est qu’un début

C’est le petit cadenas qui s’affiche dans la barre d’adresse : le certificat SSL/TLS garantit que la connexion à un site ou à un service est chiffrée et que vous parlez bien au bon serveur. Depuis le 15 mars 2026, sa durée de vie maximale est passée de 398 à 200 jours. Et ce n’est que la première marche d’un calendrier qui mènera à 47 jours en 2029. Renouveler ses certificats à la main, une fois par an, devient une habitude du passé. Voyons ce que cela change pour vous.

Une décision des navigateurs et des autorités de certification

Les règles applicables aux certificats publics sont fixées par le CA/Browser Forum, qui réunit les autorités de certification et les éditeurs de navigateurs. Le 11 avril 2025, ses membres ont adopté le vote SC-081v3, qui organise une réduction progressive de la durée de validité des certificats. Les quatre grands éditeurs de navigateurs, Apple, Google, Microsoft et Mozilla, ont voté pour, et aucune autorité de certification ne s’y est opposée.

Le calendrier, détaillé notamment par DigiCert, est le suivant :

• Jusqu’au 14 mars 2026 : 398 jours au maximum ;
• Depuis le 15 mars 2026 : 200 jours au maximum ;
• À partir du 15 mars 2027 : 100 jours au maximum ;
• À partir du 15 mars 2029 : 47 jours au maximum.

La durée pendant laquelle une autorité peut réutiliser la vérification de votre nom de domaine diminue au même rythme : 200 jours aujourd’hui, 100 jours en 2027, puis 10 jours seulement en 2029. Concrètement, il faudra prouver bien plus souvent que vous contrôlez votre domaine.

L’objectif est la sécurité : un certificat de courte durée limite le temps pendant lequel une clé compromise ou une information périmée peut être exploitée. Les autorités gratuites suivent la même pente : Let’s Encrypt a annoncé que ses certificats, aujourd’hui valables 90 jours, passeront à 64 jours en février 2027, puis à 45 jours en février 2028.

Ce que cela change pour vous

Un certificat qui expire, c’est un service qui s’arrête ou qui inquiète vos visiteurs. Plusieurs usages sont concernés :

• Votre site Web : un certificat expiré déclenche un message d’alerte plein écran dans le navigateur, et la plupart des visiteurs font demi-tour ;
• Votre messagerie : si vous utilisez un serveur de messagerie qui vous est propre, un certificat périmé peut bloquer la connexion des logiciels de messagerie et des smartphones ;
• Vos équipements : un pare-feu avec un portail d’accès à distance, un NAS accessible depuis l’extérieur, un copieur ou un autre appareil doté d’une interface Web peuvent eux aussi utiliser un certificat public, souvent installé à la main et vite oublié.

Les nouvelles règles concernent les certificats délivrés par les autorités de certification publiques, reconnus par les navigateurs. Les certificats autosignés ou issus d’une autorité interne n’y sont pas soumis, mais ils méritent eux aussi d’être recensés.

Renouveler à la main devient intenable

Avec un certificat de 200 jours, il faut déjà intervenir au moins deux fois par an. À 100 jours, ce sera près de quatre fois ; à 47 jours, plus de sept fois par an, pour chaque certificat. Multipliez par le nombre de sites, de sous-domaines et d’équipements : la gestion manuelle n’est plus réaliste, et chaque oubli se paie par une interruption de service.

La réponse tient en un mot : automatiser. Le protocole ACME permet à un serveur de demander, de valider et d’installer lui-même son certificat, puis de le renouveler avant l’échéance, sans intervention humaine. Il est pris en charge par la plupart des autorités de certification et par de nombreux hébergements. Let’s Encrypt recommande d’ailleurs de ne plus compter sur un renouvellement manuel et de mettre en place des alertes en cas d’échec.

Trois réflexes à adopter dès maintenant

• Dressez l’inventaire de vos certificats : sites, sous-domaines, messagerie, pare-feu, NAS, copieurs, applications ;
• Automatisez le renouvellement partout où c’est possible, et vérifiez que vos équipements le permettent ;
• Surveillez les dates d’expiration avec un outil d’alerte, plutôt qu’avec un simple rappel dans un agenda.

Ne comptez pas sur les e-mails de rappel de votre fournisseur : certains filets de sécurité disparaissent. Let’s Encrypt a, par exemple, cessé d’envoyer ses avertissements avant expiration le 4 juin 2025.

Anticiper plutôt que subir

Le calendrier laisse le temps de s’organiser, à condition de commencer tôt. L’échéance de mars 2027 est la plus importante à préparer : à 100 jours, un renouvellement manuel oublié peut survenir à tout moment de l’année. C’est aussi l’occasion de faire le ménage : certificats devenus inutiles, sous-domaines abandonnés, équipements qui ne savent pas renouveler automatiquement leur certificat et qu’il faudra peut-être remplacer.

Vos certificats SSL/TLS suivis et renouvelés à temps

Plus les certificats raccourcissent, plus il devient précieux de confier leur suivi à une équipe qui ne les perd pas de vue. C’est tout le sens de notre offre de certificats SSL/TLS :

• Le bon certificat pour chaque usage : validation du domaine ou de l’organisation, certificat multi-domaines ou « wildcard » pour tous vos sous-domaines ;
• Le suivi des échéances et le renouvellement avant expiration : plus de site bloqué un lundi matin ;
• Un abonnement annuel : tous les renouvellements de l’année sont compris, même lorsque la durée de validité impose d’en faire plusieurs ;
• Des certificats prêts à être installés sur vos équipements, et installés par nos soins sur les services que nous hébergeons.

Votre site est hébergé chez nous ? Notre hébergement de sites Web comme notre hébergement WordPress incluent un certificat SSL/TLS : le cadenas fait partie de l’offre. Enfin, nom de domaine, messagerie, site et certificats sont liés : en gérant aussi vos noms de domaine, leur renouvellement et la configuration de leurs zones DNS, nous évitons les mauvaises surprises lors d’un changement ou d’un renouvellement.

Vous vous demandez où en sont vos certificats ? Parlons-en : l’équipe vous aide à en faire l’inventaire et à choisir la bonne approche pour chacun de vos services.