Certificats Let’s Encrypt à 64 jours : quels sites doivent s’adapter

L’annonce, publiée le 7 octobre sur le blog de Let’s Encrypt, vise « tous les abonnés », sauf ceux qui demandent une durée encore plus courte. Pour un site, tout se joue sur la manière dont le renouvellement est déclenché, et beaucoup n’ont rien à piloter eux-mêmes : « pour beaucoup de gens », rappelle Let’s Encrypt, c’est l’hébergeur qui obtient et gère les certificats. Il fait alors tourner le logiciel de renouvellement à leur place ; l’organisme renvoie à la documentation et aux réglages de l’hébergeur, où le service est automatique ou doit être activé.

Let’s Encrypt est une autorité de certification gratuite, gérée par l’organisme à but non lucratif ISRG (Internet Security Research Group) : elle fournit aux sites le certificat qui leur permet d’afficher le cadenas du HTTPS.

Trois dates à retenir

Le 14 octobre 2026, l’environnement de test de Let’s Encrypt (staging), qui délivre des certificats non reconnus par les navigateurs et sert à vérifier une configuration, passera aux certificats de 64 jours. Let’s Encrypt recommande d’y essayer ses réglages avant la bascule. C’est plus tôt que prévu : en décembre 2025, l’organisme annonçait un passage en test « environ un mois » avant chaque date de production ; le délai sera finalement de près de quatre mois.

Le 10 février 2027, la bascule touche le service réel. Les certificats délivrés avant cette date gardent leur durée : Let’s Encrypt ne les révoquera pas et prévoit que le dernier certificat de 90 jours expire le 11 mai 2027. Le même jour, la période pendant laquelle une validation de domaine peut être réutilisée passe de 30 à 10 jours (nous y revenons plus bas).

En 2028, la durée par défaut tombera à 45 jours, et la réutilisation des validations à sept heures. Le billet d’octobre ne donne que l’année ; celui de décembre 2025 fixait la date au 16 février 2028.

Les plus pressés peuvent déjà demander moins. Let’s Encrypt propose des « profils », c’est-à-dire des variantes de certificats que le logiciel du site choisit à la demande. Selon la documentation, le profil tlsserver délivre des certificats de 45 jours et shortlived des certificats de 160 heures, soit un peu moins de sept jours. Le profil par défaut, classic, est celui qui change en février.

Une règle votée pour toute la profession

Let’s Encrypt ne décide pas seul. Les durées maximales sont fixées par le CA/Browser Forum, qui réunit les autorités de certification et les éditeurs de navigateurs. En avril 2025, il a adopté le ballot SC081v3, proposé par Apple et soutenu par Sectigo, Google (Chrome) et Mozilla : 25 voix pour, aucune contre et 5 abstentions chez les autorités de certification, unanimité des quatre éditeurs de navigateurs votants.

Le calendrier figure dans les exigences de base du Forum (version 2.3.1 du 4 octobre 2026). Un certificat peut valoir au plus 200 jours depuis le 15 mars 2026, 100 jours à partir du 15 mars 2027 et 47 jours à partir du 15 mars 2029. La durée de réutilisation d’une validation de domaine suit le même rythme, jusqu’à 10 jours en 2029.

Let’s Encrypt va donc plus vite que la règle : ses 64 jours restent loin du plafond de 100 jours applicable en mars 2027, et son passage à 45 jours en 2028 devance d’un an l’obligation de 47 jours.

Pourquoi raccourcir

Let’s Encrypt avance deux raisons : réduire le risque de compromission de la clé privée (la clé secrète du site) et celui d’une émission erronée. En décembre 2025, il ajoutait qu’une durée plus courte limite « l’étendue d’une compromission » et rend les technologies de révocation « plus efficaces ».

Le texte du CA/Browser Forum détaille l’argument. Un certificat est « la représentation d’un état de la réalité à un instant donné » : plus le temps passe, plus son contenu risque de ne plus correspondre à la réalité. La révocation, qui permet d’annuler un certificat avant son terme, n’est qu’une parade « réactive », et les services qui la gèrent doivent absorber un volume de requêtes qui peut, selon le Forum, « submerger » l’infrastructure existante. Un certificat court expire de lui-même, que la révocation fonctionne ou non.

L’affaire des certificats obtenus en détournant trois registres nationaux, révélée par Google le 6 octobre, l’a illustré : Google a dû bloquer lui-même dans Chrome des certificats authentiques mais non autorisés, et prévenait qu’une validation obtenue pendant un détournement peut servir à émettre de nouveaux certificats après coup. Des certificats plus courts et des validations réutilisables moins longtemps réduisent cette fenêtre, sans la fermer.

Ce que chaque site doit vérifier

Le renouvellement est automatique et le logiciel gère ARI : selon Let’s Encrypt, il n’y a rien à faire. ARI (ACME Renewal Information), décrit dans une norme proposée publiée par l’IETF en juin 2025 et rédigée par Aaron Gable, de l’ISRG, permet à l’autorité d’indiquer au logiciel du site quand renouveler.

Le renouvellement est automatique, sans ARI : tout dépend de la règle de déclenchement. Depuis sa version 4.0.0, Certbot, le logiciel de renouvellement de l’EFF, renouvelle un certificat quand il lui reste moins d’un tiers de sa durée de vie ; il s’adapte donc de lui-même. En revanche, un renouvellement programmé à intervalle fixe, comme une tâche planifiée « tous les 60 jours », ne suffira plus, prévenait Let’s Encrypt dès 2025. La consigne est de renouveler aux deux tiers environ de la durée de vie : vers le 43^e jour pour un certificat de 64 jours, vers le 30^e pour 45 jours. Avec un intervalle de 60 jours, il ne reste que quatre jours de marge en 2027, et le certificat expire avant son renouvellement en 2028.

Le certificat est renouvelé à la main : Let’s Encrypt le déconseille, puisqu’il faudra le faire de plus en plus souvent.

Pour tester, Certbot passe sur l’environnement de test avec l’option --test-cert ou --dry-run, indique la documentation de Let’s Encrypt. À partir du 14 octobre, un essai y produira un certificat de 64 jours, de quoi vérifier que les tâches planifiées et les alertes de supervision suivent.

Les limites de délivrance ne changent pas : les renouvellements en sont exemptés, précisait Let’s Encrypt en février.

Des validations réutilisables moins longtemps

L’autre changement passe plus inaperçu. Avant de délivrer un certificat, Let’s Encrypt vérifie que le demandeur contrôle le domaine, par exemple en lui faisant publier une valeur dans le DNS, l’annuaire d’internet. Chez Let’s Encrypt, cette preuve peut aujourd’hui resservir pendant 30 jours ; ce sera 10 jours en février, puis sept heures en 2028. L’organisme donne deux raisons : se conformer à la réduction prévue par les règles du Forum pour 2029, et supprimer la « revérification CAA », une partie de la validation qu’il doit refaire quand la preuve a plus de sept heures.

Pour la plupart des sites, cela ne change rien : avec un renouvellement vers le 60^e jour et une preuve valable 30 jours, chaque renouvellement exige déjà une nouvelle validation. Selon Let’s Encrypt, seuls les logiciels « spécifiquement » conçus pour s’appuyer sur la réutilisation des validations doivent être adaptés.

La validation par le DNS garde toutefois ses contraintes, que Let’s Encrypt reconnaît lui-même : délais de propagation, mises à jour à chaque renouvellement, et identifiants DNS souvent « distribués » dans toute l’infrastructure. L’organisme prépare une parade : une méthode appelée DNS-PERSIST-01, où un enregistrement publié une fois pour toutes, lié à un compte précis, remplace les preuves répétées. En février 2026, il visait une mise en service au deuxième trimestre 2026. Elle n’a pas eu lieu : le 25 juin, un membre de l’équipe de Let’s Encrypt a écrit sur le forum de l’organisme qu’elle ne serait pas déployée tant qu’une question ouverte de la spécification, en cours d’élaboration à l’IETF, ne serait pas réglée.

Ce que Let’s Encrypt ne chiffre pas

Let’s Encrypt ne dit pas combien de sites risquent d’être pris de court, ni quelle part de ses abonnés utilise un logiciel compatible avec ARI. Le billet du 7 octobre ne donne pas non plus la date précise du passage à 45 jours, que seule l’annonce de décembre 2025 fixe au 16 février 2028.

Les citations de documents en anglais sont traduites par la rédaction.