SSL : la fin des certificats de 90 jours est proche

Let's Encrypt vient de faire une annonce qui va impacter tout le monde : développeurs, sysadmins, DevOps. Dès le 10 février 2027, l'autorité de certification va réduire la durée de vie par défaut de ses certificats de 90 à 64 jours.

Pas de panique pour autant. Cette évolution était prévisible. Let's Encrypt communique sur cette direction depuis un moment. Et dans l'ensemble, l'industrie pousse vers des certificats plus courts. Pourquoi ? Parce qu'un certificat qui vit moins longtemps, c'est moins de temps pour qu'une clé compromise ou un certificat mal émis fasse des dégâts.

Le calendrier à retenir

Voici les dates clés à avoir en tête :

• 10 février 2027 : tous les nouveaux certificats passent à 64 jours de validité
• 11 mai 2027 : le dernier certificat de 90 jours expire définitivement
• 2028 : nouvelle réduction attendue à 45 jours
• 2029 : les périodes de réutilisation d'autorisation descendent à 7 heures

Bonne nouvelle : l'environnement de staging de Let's Encrypt basculera le 14 octobre 2026. Vous aurez donc plusieurs mois pour tester avant que les changements n'arrivent en production. Profitez-en.

Votre gestion de certificats est-elle prête ?

C'est là que ça devient concret. Passons en revue ce qu'il faut vérifier.

Si vous utilisez un client compatible ARI

L'ACME Renewal Info (ARI) permet à Let's Encrypt de communiquer directement avec votre client pour optimiser le timing de renouvellement. Concrètement, c'est une approche plus intelligente qui ne repose pas sur des plannings rigides.

Mais attention : ne partez pas du principe que tout va bien. Vérifiez dans la documentation de votre client que ARI est bien implémenté et fonctionnel. Les certitudes sont souvent à l'origine des pannes.

Si vous avez des dates de renouvellement codées en dur

C'est là que beaucoup se font surprendre. Si votre logique dit "je renouvelle 30 jours avant expiration" ou "je renouvelle tous les 90 jours", il faut revoir copy.

Let's Encrypt conseille de renouveler à environ deux tiers de la durée de vie du certificat. Pour un certificat de 64 jours, ça donne environ 42-43 jours. Petit conseil pratique : si vous réglez déjà vos renouvellements sur 80 jours pour vos certificats de 90 jours actuels, vous n'aurez rien à changer quand le basculement aura lieu.

Faites une recherche dans vos cron jobs, scripts et runbooks pour les chiffres 83, 80, 60 ou 30. Ce sont des signes révélateurs d'une logique de renouvellement codée en dur.

La réutilisation d'autorisation : le changement discret

Il y a une autre modification qui mérite votre attention. La période de réutilisation d'autorisation passe de 30 à 10 jours.

Pour la plupart d'entre vous, ça ne changera rien. La réutilisation d'autorisation est une optimisation qui permet à votre client ACME de sauter la revalidation du contrôle de domaine si vous l'avez fait récemment. Sauf si vous avez spécifiquement architecturé votre infrastructure autour de ce comportement, vous pouvez ignorer ce point.

Let's Encrypt fait ce changement pour éliminer le besoin de "recheck CAA". C'est un processus où la validation doit être refaite si les données originales ont plus de 7 heures. À partir de 2029, la réutilisation maximale sera limitée à 7 heures. Ce changement de 2027 prépare le terrain.

C'est le moment de franchir un cap

Notre avis : ce changement est en fait une opportunité. Pas parce que des durées plus courtes sont pratiques — elles ne le sont pas — mais parce qu'elles nous forcent à arrêter de traiter la gestion des certificats comme une tâche "installée et oubliée".

Si vous vous connectez encore en SSH tous les 89 jours pour renouveler manuellement vos certificats, vous jouez avec le feu. Les certificats expirent toujours au pire moment : vendredi après-midi, weekend prolongé, en pleine nuit pendant un incident. L'automatisation supprime cette catégorie de problèmes.

Profitez-en pour ajouter :

• Des alertes en cas d'échec de renouvellement : soyez notifié avant l'expiration, pas après
• Un déploiement automatique : liez le renouvellement au processus de reload de votre service
• Des health checks : surveillez les dates d'expiration sur toute votre infrastructure

En résumé

Let's Encrypt ne change rien aux rate limits, aux endpoints ACME ni aux chaînes d'émission. C'est uniquement un ajustement de durée de vie, avec des bénéfices sécurité qui s'inscrivent dans la tendance générale du secteur.

La transition sera fluide pour ceux qui ont déjà mis en place des renouvellements automatisés. Pour les autres ? Considérez ceci comme une invitation (plus ou moins douce) à enfin mettre en place une vraie automatisation.

L'environnement de staging ouvre en octobre 2026. C'est votre terrain de jeu pour tester. Profitez-en.

Restez secure. Vos utilisateurs (et votre équipe on-call) vous en remercieront.