Certificats TLS limités à 200 jours dès le 15 mars : ce qu'il faut automatiser
À partir de dimanche, un certificat de site web ne pourra plus durer plus de 200 jours, puis 100 en 2027 et 47 en 2029. Le renouvellement manuel a vécu.
Le petit cadenas dans la barre d'adresse repose sur un certificat : un fichier qui prouve que le site est bien celui qu'il prétend être et qui permet de chiffrer les échanges. Ce dimanche 15 mars, la durée de vie maximale de ces certificats passe de 398 à 200 jours. Ce n'est que la première marche : 100 jours en 2027, 47 jours en 2029. Si vos certificats sont renouvelés à la main une fois par an, il faut changer de méthode cette année, sous peine de voir un jour votre site, votre boutique ou votre extranet afficher une alerte de sécurité.
Ce qui change, et quand
La règle a été votée en avril 2025 par le CA/Browser Forum, l'instance qui réunit les autorités de certification et les éditeurs de navigateurs (vote SC-081v3). Le calendrier :
- Depuis le 15 mars 2026 : 200 jours au maximum pour un certificat émis à partir de cette date.
- À partir du 15 mars 2027 : 100 jours.
- À partir du 15 mars 2029 : 47 jours.
Les certificats déjà émis gardent leur durée : un certificat d'un an acheté en février reste valable jusqu'à son terme. Plusieurs autorités, comme DigiCert, fixent leur propre limite un jour en dessous du maximum, soit 199 jours.
La durée pendant laquelle une autorité peut réutiliser la vérification de votre nom de domaine diminue elle aussi, à 200 jours pour l'instant. Concrètement, il faudra prouver plus souvent que vous contrôlez bien votre domaine.
Pourquoi raccourcir ?
Un certificat compromis ou émis par erreur reste dangereux tant qu'il n'a pas expiré, et les mécanismes de révocation fonctionnent mal en pratique. Raccourcir la durée de vie limite la fenêtre pendant laquelle un certificat douteux peut servir. Cela oblige aussi tout le monde à automatiser, ce qui rendra plus facile, le jour venu, un changement rapide de technologie de chiffrement.
Ce que ça change pour une PME
Si votre hébergeur s'en occupe, rien
Beaucoup de sites utilisent déjà des certificats gratuits renouvelés automatiquement tous les trois mois, par exemple ceux de Let's Encrypt, ou des certificats gérés par leur hébergeur ou par leur plateforme de boutique. Pour eux, la nouvelle règle ne change rien : l'automate tourne déjà.
Si quelqu'un renouvelle à la main, tout
Le cas à risque, c'est le certificat acheté auprès d'une autorité, installé à la main par un prestataire, et noté dans un agenda « à renouveler en mars ». Avec 200 jours, il faudra le faire deux fois par an ; avec 47 jours, presque tous les mois. L'oubli devient une question de temps. Et un certificat expiré, c'est un navigateur qui affiche une page d'alerte à vos clients, une application mobile qui ne se connecte plus au serveur, un logiciel métier qui refuse de communiquer avec un partenaire.
Les certificats qu'on oublie
Le site principal est rarement le problème, tout le monde le surveille. Ce sont les autres : le sous-domaine de l'extranet client, le serveur de messagerie, le portail fournisseur, l'interface d'administration d'un équipement réseau, l'API utilisée par votre application mobile. Notez que seuls les certificats « publics », reconnus par les navigateurs, sont concernés : ceux qu'une entreprise émet pour son propre réseau interne suivent ses propres règles.
Automatiser, c'est aussi vérifier son domaine automatiquement
Le renouvellement automatique suppose que l'automate puisse prouver, à chaque fois, que vous contrôlez le nom de domaine. Il le fait soit en déposant un fichier sur le site, soit en ajoutant une entrée dans la zone DNS du domaine. Si votre nom de domaine est géré par un prestataire et votre site par un autre, il faut que les deux se parlent, ou que l'accès nécessaire soit donné, de façon limitée, à celui qui gère le certificat. C'est souvent là que les projets d'automatisation coincent, et c'est une question d'organisation plus que de technique : qui détient les accès à votre domaine, et sous quel compte ?
Ce qu'on conseille de faire
- Faire l'inventaire de tous vos noms de domaine et sous-domaines, et de qui gère le certificat de chacun.
- Repérer les renouvellements manuels : chaque certificat installé à la main est un incident programmé.
- Automatiser : la plupart des hébergeurs et des autorités proposent aujourd'hui un renouvellement automatique, via le protocole standard ACME. C'est à demander explicitement à votre prestataire.
- Surveiller : un service de supervision qui vous alerte trente jours avant une expiration coûte peu et évite beaucoup.
- Vérifier vos applications : un logiciel ou une application mobile qui « épingle » un certificat précis devra être mis à jour plus souvent. Mieux vaut le savoir maintenant.
Les logiciels métier, applications mobiles et boutiques que nous livrons sont hébergés en France ou chez le client, avec des certificats renouvelés automatiquement et une maintenance qui répond sous 24 heures ouvrées. Pour faire le point sur les vôtres, prenez rendez-vous.
À relire sur le même sujet : Certificats HTTPS : leur durée de vie va fondre dès mars 2026.