Let’s Encrypt passe aux certificats de 64 jours : ce que les auto-hébergeurs doivent vérifier avant février 2027

Le 7 octobre 2026, Let’s Encrypt a fixé une échéance : à partir du 10 février 2027, ses certificats gratuits ne seront plus valables 90 jours par défaut, mais 64. Pour la grande majorité des sites, rien ne bougera, puisque le renouvellement y est déjà automatique. Pour qui héberge lui-même un cloud personnel, un gestionnaire de mots de passe, une forge logicielle ou le site d’une association, c’est en revanche le bon moment pour contrôler un rouage souvent oublié : la manière dont le serveur renouvelle ses certificats. Une tâche planifiée écrite il y a des années, calée sur l’ancien rythme, fait précisément partie de ce que Let’s Encrypt invite à vérifier.

Un certificat TLS est le fichier qui permet à un navigateur de vérifier l’identité d’un site et de chiffrer la connexion : c’est lui qui se cache derrière le cadenas de la barre d’adresse. Let’s Encrypt est une autorité de certification gratuite, automatisée et ouverte, gérée par l’organisation à but non lucratif Internet Security Research Group (ISRG). Ses certificats s’obtiennent et se renouvellent sans intervention humaine grâce à un client ACME : un petit logiciel installé sur le serveur, comme Certbot, ou une fonction intégrée directement au serveur web, comme dans Caddy.

Ce qui change, et quand

Concrètement, tout certificat émis ou renouvelé à partir du 10 février 2027 aura une durée de validité de 64 jours. Le changement concerne le profil par défaut, baptisé « classic » ; les durées plus courtes déjà proposées sur demande, 45 jours ou 6 jours, restent disponibles pour ceux qui les choisissent. Let’s Encrypt précise qu’il ne révoquera aucun certificat valide pendant la transition : les certificats de 90 jours déjà en circulation iront simplement à leur terme. Les points d’accès ACME et les chaînes de certification restent identiques, et les limites d’émission ne sont pas modifiées.

Le dernier certificat de 90 jours délivré par Let’s Encrypt devrait expirer le 11 mai 2027.

Pour permettre les essais, l’environnement de test de Let’s Encrypt, dit « staging », passera aux certificats de 64 jours dès le 14 octobre 2026, et l’autorité recommande d’y tester sa configuration avant que le changement ne s’applique en production. Un second réglage, moins visible, évolue en même temps. Pour obtenir un certificat, il faut prouver que l’on contrôle le nom de domaine ; cette validation pouvait jusqu’ici être réutilisée pendant 30 jours. Ce délai tombera à 10 jours, puis à sept heures en 2028. Sauf client ACME conçu précisément pour s’appuyer sur cette réutilisation, aucune modification n’est nécessaire, assure Let’s Encrypt.

Ces 64 jours ne sont d’ailleurs qu’une étape. Dès le 2 décembre 2025, Let’s Encrypt avait annoncé que la durée de ses certificats serait divisée par deux d’ici 2028 : après l’étape des 64 jours, le profil par défaut doit passer à 45 jours, avec une réutilisation des validations limitée à sept heures. L’autorité ne fait pas cavalier seul : elle applique les exigences de base du CA/Browser Forum, l’instance qui fixe les règles des certificats utilisés sur le web. Le scrutin SC-081 de ce forum prévoit de ramener la durée maximale des certificats de 398 jours à 47 jours, par paliers étalés de mars 2026 à mars 2029.

Pourquoi raccourcir ? Let’s Encrypt avance un argument de sécurité : une durée plus courte réduit le risque lié à la compromission d’une clé privée et aux certificats émis par erreur. Plus la durée de validité est brève, moins longtemps un certificat compromis ou mal délivré reste exploitable. Le corollaire est assumé : le renouvellement manuel, que Let’s Encrypt déconseille déjà, devient intenable. Sur un serveur domestique ou dans une petite structure, renouveler un certificat à la main toutes les quelques semaines finira tôt ou tard par être oublié : avec des certificats de 64 jours, l’automatisation n’est plus un confort mais une condition de fonctionnement.

Ce qu’il faut vérifier sur son serveur

La bonne nouvelle, c’est que les clients ACME récents savent déjà s’adapter. Ils s’appuient sur ARI (ACME Renewal Information), un mécanisme par lequel l’autorité indique elle-même au client à quel moment renouveler : avec un client compatible, la transition ne demande en principe aucune intervention. Certbot prend en charge ARI depuis sa version 4.1.0 ; depuis la version 4.0.0, il renouvelle déjà un certificat lorsqu’il ne reste plus qu’un tiers de sa durée de vie, au lieu du seuil fixe de 30 jours avant expiration utilisé jusque-là. Caddy, serveur web qui obtient lui-même ses certificats, gère ARI depuis sa version 2.8.0. Encore faut-il savoir quelle version tourne réellement sur son serveur.

Le risque se loge surtout autour du client : dans les tâches planifiées (cron, sous Linux), les scripts maison et les procédures écrites à l’époque des 90 jours. Let’s Encrypt conseille de renouveler aux deux tiers environ de la durée de vie du certificat plutôt qu’à intervalle fixe, et propose une méthode simple : rechercher les valeurs codées en dur les plus courantes, 83, 80 ou 60, dans les tâches cron, les scripts qui enveloppent le client et les procédures d’exploitation. Une tâche qui ne relancerait le renouvellement que tous les 80 jours laisserait mécaniquement expirer un certificat valable 64 jours. L’environnement de test permet de vérifier tout cela sans attendre février.

Surveiller plutôt que subir

Reste à être prévenu quand un renouvellement échoue, et sur ce point Let’s Encrypt n’aide plus directement. L’autorité a cessé le 4 juin 2025 d’envoyer ses courriels d’alerte avant expiration, en expliquant que de plus en plus de ses utilisateurs avaient mis en place une automatisation fiable du renouvellement. Elle oriente désormais vers des services tiers, comme Red Sift Certificates Lite, gratuit jusqu’à 250 certificats, et recommande de se doter d’une surveillance capable d’alerter en temps utile. Pour un serveur auto-hébergé, un outil de supervision installé chez soi peut jouer ce rôle, à condition de vérifier qu’il contrôle bien la date d’expiration des certificats.

Sur le fond, nous jugeons la décision cohérente : elle s’inscrit dans un mouvement de tout le secteur, elle est annoncée plusieurs mois à l’avance, et Let’s Encrypt fournit à la fois un environnement de test et une méthode de vérification claire. Le revers est réel pour les petites installations : la marge d’erreur se réduit. Un serveur oublié dans un coin, une machine restaurée depuis une vieille sauvegarde avec son ancien script, un équipement incapable de renouveler seul ses certificats : chacun de ces cas se révélera plus vite qu’avant, et souvent au plus mauvais moment. Ce n’est pas une raison de renoncer à Let’s Encrypt, mais c’en est une de ne plus laisser ce rouage sans surveillance.

Pour une TPE, une association ou un particulier qui héberge ses propres services, la vérification tient en peu de temps : identifier le client ACME utilisé et sa version, chercher les intervalles codés en dur dans les tâches planifiées, puis mettre en place une alerte d’expiration. Mieux vaut le faire maintenant, au calme, que découvrir en février un site devenu inaccessible. Si vous ne savez pas par où commencer, l’accompagnement bénévole et gratuit d’Azure Informatique peut vous aider à faire ce tour d’horizon, dans la mesure de nos disponibilités.