Pourquoi les certificats vont raccourcir
En juillet 2026, AWS a annoncé le support natif du protocole ACME dans ses services de gestion de certificats, signal fort que le secteur converge vers l'automatisation obligatoire. Le CA/B Forum, l'organisme qui réunit autorités de certification et éditeurs de navigateurs, a voté un calendrier de réduction progressive des durées de validité. L'objectif est double : limiter l'exposition aux clés compromises et forcer le renouvellement régulier des paramètres cryptographiques. Un certificat expiré ou reposant sur une clé ancienne représente une surface d'attaque mesurable. Raccourcir la durée de vie réduit mécaniquement cette fenêtre, à condition que le renouvellement soit fiable et automatique.
Les risques concrets du renouvellement manuel
- **Expiration silencieuse** — un certificat renouvelé manuellement dépend d'une alerte calendrier ou d'un rappel humain, deux mécanismes qui échouent régulièrement en période de charge ou lors de changements d'équipe.
- **Alertes tardives** — les outils de monitoring classiques signalent l'expiration à 30 jours, un délai conçu pour des certificats d'un an ; avec des certificats de 47 jours, cette marge ne laisse plus le temps d'agir sereinement.
- **Paramètres cryptographiques figés** — un renouvellement manuel incite à reconduire la même configuration ; l'automatisation force au contraire à définir une politique de clé et de hash appliquée systématiquement.
- **Impact sur les SLA** — une interruption de service liée à un certificat expiré engage la responsabilité contractuelle et nuit à la réputation de la plateforme.
- **Charge opérationnelle croissante** — passer de un renouvellement par an à huit renouvellements par an par domaine multiplie la charge manuelle sans valeur ajoutée pour les équipes techniques.
Le calendrier : ce qui change et quand
La durée de validité maximale actuelle est de 398 jours, un plafond fixé après que les navigateurs ont cessé de faire confiance aux certificats dépassant cette limite. Le CA/B Forum a voté en 2024 un calendrier progressif : à partir de mars 2027, la durée maximale sera ramenée à 100 jours. Une deuxième étape, prévue pour 2029, abaissera ce plafond à 47 jours. Let's Encrypt anticipe déjà cette trajectoire en proposant des certificats de 90 jours. D'ici 2029, gérer manuellement même une dizaine de domaines sera structurellement impossible sans outillage automatisé.
Automatiser le renouvellement ACME
Inventorier les certificats en place
Avant d'automatiser, recensez tous les certificats actifs : domaines couverts, autorités émettrices, dates d'expiration, méthode de validation (HTTP-01, DNS-01, TLS-ALPN-01). Sur Linux, certbot certificates liste les certificats gérés. Pour les autres, openssl s_client -connect votre-domaine.com:443 affiche l'émetteur et la date d'expiration.
Choisir un client ACME adapté
certbot est le client de référence de l'EFF, disponible dans les dépôts de toutes les distributions Linux majeures. acme.sh est un script shell sans dépendance externe, particulièrement adapté aux scénarios de validation DNS-01. Si votre serveur web est Caddy, aucun client tiers n'est nécessaire : Caddy gère le protocole ACME nativement.
Configurer le renouvellement automatique
Avec certbot, le paquet installe automatiquement un timer systemd qui tente le renouvellement deux fois par jour. Vérifiez que ce timer est actif : systemctl status certbot.timer. Avec acme.sh, la commande acme.sh --install-cronjob ajoute l'entrée cron nécessaire. Avec des certificats de 47 jours, adaptez le seuil de renouvellement à 15 jours.
Tester le renouvellement avant l'échéance
Ne présumez jamais que la configuration est correcte sans l'avoir vérifiée. Lancez certbot renew --dry-run pour valider la chaîne sans émettre de certificat réel. Si le test passe, enchaînez avec certbot renew --force-renewal sur un domaine non critique pour confirmer que le rechargement du serveur web se déroule sans interruption de service.
Surveiller avec un webhook post-renouvellement
Configurez un hook post-renouvellement dans certbot via l'option --post-hook ou dans le répertoire /etc/letsencrypt/renewal-hooks/post/. Ce hook peut envoyer une notification vers un canal d'alerte pour confirmer que le renouvellement s'est bien déroulé. Un silence prolongé sur ce canal devient lui-même une alerte.
Lancez certbot renew --force-renewal sur un environnement de préproduction plusieurs semaines avant l'échéance de vos premiers certificats. Avec des durées de validité de 47 jours, la fenêtre entre la première alerte et l'expiration réelle sera étroite. Un test forcé en amont coûte quelques minutes et élimine cette catégorie de risques.
Pour aller plus loin
Si vous démarrez avec Let's Encrypt sur un VPS, notre article sur les certificats SSL avec Let's Encrypt détaille la mise en place initiale et les cas particuliers liés aux wildcards. Pour les nouvelles infrastructures, Caddy mérite une attention particulière : son support natif du protocole ACME supprime entièrement la couche de gestion des certificats, le serveur web s'en chargeant de façon transparente.
