La validité des certificats SSL passe à 47 jours. Qui renouvelle le vôtre avant que vos clients voient un avertissement ?

Combien de temps un certificat SSL est-il valide aujourd'hui, et comment cela va-t-il évoluer ?

La validité maximale d'un certificat SSL est désormais de 200 jours, contre 398 jours jusqu'au 15 mars 2026. Le 15 mars 2027, elle passe à 100 jours, puis le 15 mars 2029 à 47 jours, en vertu des Baseline Requirements que le CA/Browser Forum fixe pour toutes les autorités de certification du monde. Let's Encrypt, le plus grand émetteur de certificats gratuits, a annoncé le 7 octobre 2026 que ses certificats passeront de 90 jours à 64 jours à partir du 10 février 2027. Concrètement, un certificat que votre entreprise renouvelait une fois par an doit désormais être renouvelé au moins deux fois, puis quatre fois, puis environ huit fois. Si le renouvellement reste une tâche dont quelqu'un doit se souvenir, un jour un client ouvrira votre site et verra un avertissement indiquant que la connexion n'est pas sécurisée.

Le calendrier : de 398 jours à 47

La dernière colonne compte plus qu'il n'y paraît. La validation du domaine est l'étape où vous prouvez à l'autorité de certification que vous contrôlez votre domaine, en ajoutant un enregistrement DNS ou en déposant un fichier sur votre serveur. Aujourd'hui, une validation peut être réutilisée pendant 200 jours ; à partir de mars 2029, elle ne vaut plus que 10 jours, si bien que presque chaque renouvellement exigera une nouvelle validation. Le Forum a adopté ce calendrier le 11 avril 2025, avec 25 autorités de certification votant pour et aucune contre, et les quatre éditeurs de navigateurs votants tous favorables. Ce n'est pas une proposition susceptible de glisser. C'est une règle que chaque autorité de certification applique pour que ses certificats restent reconnus par les navigateurs.

Qu'est-ce qui change pour les certificats gratuits Let's Encrypt ?

De nombreux sites de petites et moyennes entreprises fonctionnent avec des certificats gratuits Let's Encrypt, souvent sans que leur propriétaire le sache. Selon son annonce officielle et son calendrier publié :

• 14 octobre 2026 : l'environnement de test (staging) commence à émettre des certificats de 64 jours, pour que vous puissiez tester vos systèmes avant la date réelle.
• 10 février 2027 : tout certificat émis ou renouvelé à partir de cette date est valide 64 jours, et la période de réutilisation des autorisations passe de 30 jours à 10 jours.
• 16 février 2028 : la validité passe à 45 jours, et une validation ne vaut plus que 7 heures.

Let's Encrypt met en garde contre une erreur fréquente : les scripts et tâches planifiées écrits autour d'un certificat de 90 jours, avec des points de renouvellement fixes comme 83, 80 ou 60 jours. Ceux-ci doivent être modifiés. La recommandation est de renouveler à environ deux tiers de la durée de vie du certificat, soit vers le jour 42 sur 64. Si votre client de renouvellement prend en charge ACME Renewal Information (ARI), aucun changement n'est nécessaire, car l'autorité de certification indique elle-même au client quand renouveler.

Un détail encore : Let's Encrypt a cessé d'envoyer des e-mails de rappel d'expiration le 4 juin 2025. Si vous attendiez un e-mail pour vous rappeler de renouveler, il n'arrivera pas.

Que se passe-t-il pour votre entreprise le jour où le certificat expire ?

• Site web et boutique en ligne : le navigateur affiche un avertissement en pleine page à la place de votre site, indiquant que la connexion n'est pas privée. La plupart des visiteurs ferment la page et ne reviennent pas, et ceux qui continuent le font en hésitant à saisir leur carte.
• Application mobile : l'application communique avec votre serveur via une connexion chiffrée et refuse de se connecter dès que le certificat du serveur expire. L'utilisateur voit une erreur générique ou un écran vide sans savoir pourquoi.
• Intégrations avec d'autres systèmes : les notifications de paiement, les intégrations d'expédition et les systèmes comptables passent tous par des liaisons chiffrées. Un certificat expiré les arrête silencieusement, et vous ne l'apprendrez peut-être que lorsqu'un client qui a payé se plaindra que sa commande n'a jamais été confirmée.
• Messagerie et tableaux de bord internes : les serveurs de messagerie, les panneaux d'administration et les outils du personnel ont aussi des certificats, et ce sont généralement les plus oubliés parce que personne ne les regarde tous les jours.

Vous avez acheté un certificat payant pour une année entière. Qu'est-ce qui a changé ?

Acheter ne veut plus dire installer. Aucune autorité de certification ne peut aujourd'hui vous émettre un certificat valide plus de 200 jours ; elles continuent donc de vendre un abonnement annuel et réémettent le certificat pendant cette période. SSL.com, par exemple, indique que votre achat reste une licence de 12 mois, qu'elle émet désormais des certificats valides 198 jours, et que la réémission pendant votre période n'entraîne aucun frais supplémentaire. Mais chaque réémission implique une nouvelle validation du domaine et une nouvelle installation sur le serveur. À partir de mars 2027, cela arrive au moins 4 fois par an, et à partir de mars 2029 environ 8 fois. La question n'est plus le prix du certificat. C'est de savoir qui l'installe, à quelle fréquence, et qui en répond lorsqu'il est oublié.

Un plan en cinq étapes pour votre entreprise

1. Inventoriez tous vos certificats : site web, boutique en ligne, serveur de l'application mobile, messagerie, panneaux d'administration et chaque sous-domaine. Notez pour chacun l'émetteur, la date d'expiration et la personne responsable.
2. Automatisez le renouvellement : avec un client de renouvellement sur le serveur, ou avec des certificats que votre fournisseur cloud ou votre réseau de diffusion de contenu gère et renouvelle automatiquement. Si votre boutique fonctionne sur une plateforme hébergée, demandez-lui par écrit : renouvelle-t-elle le certificat d'elle-même, et qui assure le suivi si le renouvellement échoue ?
3. Surveillez l'expiration avec un outil indépendant : ne supposez pas que l'automatisation fonctionne. Les services de surveillance vous alertent plusieurs jours avant l'expiration, et en mettant fin à ses e-mails de rappel, Let's Encrypt a recommandé un service de surveillance gratuit couvrant jusqu'à 250 certificats.
4. Vérifiez les anciens scripts : cherchez les valeurs fixes construites autour d'un certificat de 90 jours, et testez le renouvellement sur l'environnement de test, qui commence à émettre des certificats de 64 jours le 14 octobre.
5. Désignez le responsable dans le contrat : ajoutez à votre contrat d'hébergement ou de maintenance une clause claire précisant que le renouvellement et la surveillance des certificats incombent au prestataire, avec un délai d'intervention défini si un certificat expire.

Comment Origami vous aide

Dans les sites et applications que nous développons chez Origami, le renouvellement des certificats est automatisé dès le premier jour, et une surveillance indépendante nous alerte avant toute expiration, pour que rien ne dépende de la mémoire de quelqu'un. Si vous avez déjà un site ou un système, nous inventorions ses certificats et les faisons passer au renouvellement automatique dans le cadre du service de maintenance après lancement que nous avons décrit dans notre article sur la maintenance et le support après lancement. Voir aussi les fondamentaux de la cybersécurité pour les petites et moyennes entreprises.

Sources

• CA/Browser Forum : Baseline Requirements for TLS Server Certificates, section 6.3.2 (calendrier de validité) et section 4.2.1 (périodes de réutilisation des validations)
• CA/Browser Forum : résultats du scrutin SC-081v3 sur le calendrier de réduction des durées de validité, 11 avril 2025
• Let's Encrypt : des certificats de 64 jours à partir de février 2027, 7 octobre 2026
• Let's Encrypt : de 90 à 45 jours, le calendrier jusqu'en février 2028
• Let's Encrypt : fin des e-mails de notification d'expiration le 4 juin 2025
• SSL.com : l'évolution de la validité des certificats SSL et ce qu'elle signifie pour votre abonnement annuel