Durée de validité réduite des certificats Let's Encrypt : qu'est-ce que cela change pour vous ?
Let's Encrypt est l'émetteur gratuit de certificats utilisé par la plupart des sites web, y compris chez WebOké. Un certificat Let's Encrypt est actuellement valable 90 jours. Cette durée va diminuer, et Let's Encrypt n'envoie déjà plus d'e-mails de rappel lorsqu'un certificat arrive à expiration. Vous trouverez ici ce qui change et ce que vous devez faire.
Ce qui change
| Date | Quoi |
|---|---|
| 4 juin 2025 | Let's Encrypt cesse d'envoyer des e-mails concernant les certificats qui expirent. |
| 13 mai 2026 | Ceux qui le choisissent (le profil tlsserver) reçoivent des certificats de 45 jours. |
| 10 février 2027 | Le profil par défaut délivre des certificats de 64 jours. |
| 16 février 2028 | Le profil par défaut délivre des certificats de 45 jours. |
Une validation réussie de votre nom de domaine est également conservée moins longtemps : dix jours à partir de février 2027, et seulement sept heures à partir de février 2028. Vous le remarquerez surtout si vous demandez un certificat manuellement via un enregistrement DNS : vous devrez alors répéter cette étape plus souvent.
Let's Encrypt suit ainsi les règles du CA/Browser Forum, qui s'appliquent à tous les émetteurs. Un certificat valable moins longtemps limite les dégâts en cas de problème, par exemple une clé divulguée. La conséquence pour vous : le renouvellement manuel n'est plus envisageable. Il doit être automatique, et vous devez vous-même vérifier qu'il fonctionne.
Sur votre hébergement : rien à faire
Avec un hébergement, DirectAdmin demande le certificat et le renouvelle automatiquement. Vous n'avez rien à modifier pour cela. Votre domaine doit toutefois continuer à pointer vers notre serveur, car Let's Encrypt le vérifie à nouveau lors du renouvellement. Consultez Activer, renouveler un certificat SSL et résoudre les problèmes.
Pour savoir jusqu'à quand votre certificat est valable, utilisez Santé du domaine. S'il expire dans moins de 14 jours, l'outil signale que le renouvellement est en retard. Vérifiez alors dans DirectAdmin, sous Certificats SSL, si des validations ont échoué.
Utilisez-vous également un certificat en dehors de votre hébergement, par exemple parce que vous le copiez manuellement vers un autre appareil ou un autre service ? Vous devrez bientôt le faire toutes les quelques semaines. Il est préférable que cet appareil ou ce service demande lui-même un certificat.
Sur un VPS : à gérer et à vérifier vous-même
Sur un VPS, vous gérez vous-même le renouvellement, avec certbot, Caddy ou le client ACME de votre logiciel. Consultez nginx avec un certificat Let's Encrypt et Caddy : un site web avec https automatique. Avec certbot, vérifiez les points suivants :
- Vérifiez que le timer de renouvellement existe et qu'il est actif :
systemctl list-timers 'certbot*'
- Effectuez un renouvellement test. Celui-ci ne demande pas de véritable certificat :
sudo certbot renew --dry-run
S'il se termine par un message indiquant que toutes les simulations ont réussi, le renouvellement fonctionne. - Votre serveur web charge-t-il aussi le nouveau certificat ? Avec le plug-in pour nginx, certbot s'en charge lui-même. Si vous utilisez
certbot certonly, configurez un deploy hook qui recharge votre serveur web. - Maintenez votre client ACME à jour via le dépôt de paquets. Let's Encrypt recommande ARI (ACME Renewal Information) : grâce à cela, Let's Encrypt indique lui-même quand un certificat doit être renouvelé.
Avez-vous créé votre propre script ou ligne cron qui renouvelle, par exemple, tous les 60 jours ? Cela échouera dès que les certificats seront valables moins longtemps. Laissez le client déterminer lui-même quand le moment est venu, et faites-le vérifier au moins une fois par jour.
Vous gérez vous-même le VPS et tout ce qui y tourne. Nous vous aidons pour la partie WebOké : le panneau, le réseau et les snapshots.
Surveillez la date d'expiration
Comme il n'y a plus d'e-mails de rappel, Let's Encrypt recommande lui-même de surveiller que le renouvellement réussit. Un service de surveillance qui lit la date d'expiration de votre certificat et vous avertit lorsqu'il reste moins de 14 jours détecte à temps un renouvellement ayant échoué silencieusement. Consultez Faire surveiller votre site web : disponibilité, certificat et domaine.
Pour aller plus loin
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, en anglais)
- Expiration Notification Service Has Ended (Let's Encrypt, en anglais)
Envie d'en savoir plus ? Suivez le cours gratuit VPS et administration de serveurs Linux, leçon 7.3 https avec Let's Encrypt.