Certificats HTTPS : leur durée de vie va fondre dès mars 2026
À partir du 15 mars, un certificat de site web ne pourra plus dépasser 200 jours, puis 47 jours en 2029. Let's Encrypt a publié son calendrier en décembre. Ce qu'il faut préparer.
Le petit cadenas qui s'affiche dans le navigateur à côté de l'adresse de votre site repose sur un certificat. Ce certificat a une date d'expiration, et quand elle est dépassée, les visiteurs voient un message d'alerte qui les fait fuir. Jusqu'ici, beaucoup d'entreprises renouvelaient leurs certificats une fois par an, parfois à la main. C'est terminé : à partir du 15 mars 2026, aucun certificat public ne pourra être valable plus de 200 jours, et la durée continuera de baisser jusqu'à 47 jours en 2029. Le 2 décembre, Let's Encrypt, l'autorité de certification gratuite la plus utilisée au monde, a publié son propre calendrier. Ce que ça change, et ce qu'il faut préparer.
Ce qui a été décidé
Les règles des certificats sont fixées par le CA/Browser Forum, qui réunit les autorités de certification et les éditeurs de navigateurs (Apple, Google, Microsoft, Mozilla). En avril 2025, il a adopté une réduction progressive de la durée maximale des certificats :
- 15 mars 2026 : 200 jours maximum (contre 398 jours aujourd'hui) ;
- 15 mars 2027 : 100 jours ;
- 15 mars 2029 : 47 jours.
La durée pendant laquelle une autorité peut réutiliser la vérification de votre nom de domaine baisse aussi, jusqu'à quelques jours en 2029. Les certificats déjà émis restent valables jusqu'à leur échéance.
Let's Encrypt, dont les certificats durent 90 jours, a annoncé le 2 décembre 2025 son propre passage à 45 jours : en option à partir du 13 mai 2026, puis 64 jours par défaut le 10 février 2027, et 45 jours par défaut le 16 février 2028.
Pourquoi raccourcir
Un certificat sert à prouver qu'un site est bien celui qu'il prétend être. Si sa clé secrète est volée, ou si le nom de domaine change de propriétaire, le certificat reste utilisable jusqu'à son expiration. Les mécanismes de révocation existent mais fonctionnent mal en pratique. Une durée courte limite la fenêtre pendant laquelle un certificat compromis peut servir. C'est la justification donnée par Let's Encrypt et par les navigateurs.
Ce que ça change pour une PME
Si vos certificats sont renouvelés automatiquement, presque rien. Si quelqu'un les renouvelle à la main une fois par an, il faudra le faire au moins deux fois par an dès cette année, puis tous les mois et demi. À ce rythme, l'oubli devient une certitude.
Les situations les plus exposées :
- un certificat payant acheté pour un an et installé à la main par un prestataire ;
- des services oubliés : un extranet client, une interface de supervision, un serveur de messagerie, une application interne, un vieux sous-domaine ;
- des équipements qui embarquent un certificat : pare-feu, boîtiers de téléphonie, serveurs de fichiers ;
- un renouvellement automatique réglé sur un intervalle fixe, par exemple tous les 60 jours, qui ne suffira plus avec des certificats de 45 jours.
Ce que nous conseillons de faire
- Faites l'inventaire. Listez tous les noms de domaine et sous-domaines de l'entreprise, et qui gère le certificat de chacun. C'est souvent l'étape la plus révélatrice.
- Automatisez. Le protocole ACME, utilisé par Let's Encrypt et par la plupart des autorités payantes, permet de renouveler sans intervention humaine. La plupart des hébergeurs et serveurs web modernes le gèrent.
- Laissez l'autorité choisir le moment. Let's Encrypt recommande d'activer ARI, un mécanisme par lequel l'autorité indique quand renouveler, ou à défaut de renouveler aux deux tiers de la durée du certificat.
- Surveillez. Une alerte qui prévient quand un certificat approche de son expiration coûte peu et évite l'écran d'avertissement un lundi matin.
- Traitez les équipements à part. Pour les matériels qui ne savent pas renouveler seuls, demandez à leur fournisseur ce qui est prévu avant mars.
Un mot sur les certificats payants. Certaines entreprises achètent un certificat d'une autorité commerciale pour afficher le nom de la société ou par habitude. Ils restent possibles, mais ils seront soumis aux mêmes durées maximales : acheter « pour un an » ne voudra plus dire installer une fois par an. La plupart de ces autorités proposent désormais elles aussi un renouvellement automatique par ACME.
Comment nous gérons ça
Sur les sites et logiciels que nous hébergeons, les certificats sont renouvelés automatiquement et surveillés ; c'est inclus dans la maintenance, comme nous l'expliquions dans notre article sur ce que couvre la maintenance. Ce changement de règles ne demande donc rien à nos clients. Si vos sites ou outils sont gérés ailleurs, posez simplement la question à votre prestataire : « nos certificats sont-ils renouvelés automatiquement, et qui est prévenu en cas d'échec ? ». Et si la réponse n'est pas claire, nous pouvons faire l'inventaire avec vous lors d'un rendez-vous de 30 minutes.