Le paradoxe des certificats SSL : pourquoi personne ne choisit la durée de 15 ans

Si vous gérez des serveurs web depuis quelques années, vous connaissez bien le cycle des certificats SSL. Tous les 90 jours, il faut renouveler. C’est devenu une routine.

Pourtant, il est possible d’émettre un certificat SSL valable 15 ans. La technologie existe. L’infrastructure aussi. Mais presque personne ne l’utilise. Pourquoi ?

Une option réelle, mais peu exploitée

Certaines autorités de certification, notamment dans l’écosystème Cloudflare, permettent de générer des certificats Origin valables 15 ans pour les domaines derrière un proxy. Ce n’est pas une théorie. C’est une fonctionnalité disponible.

Alors pourquoi le standard reste-t-il à 90 jours ?

Comment on en est arrivés là

En 2020, le CA/B Forum a supprimé les certificats de 2 et 3 ans. La tendance à la réduction de durée s’est imposée pour plusieurs raisons :

• La sécurité. Un certificat long reste valide longtemps, même si la clé privée de l’autorité est compromise.
• La rotation des clés. Il est plus facile de changer régulièrement de clés avec des durées courtes.
• L’automatisation. Avec l’arrivée de Let’s Encrypt, renouveler un certificat est devenu gratuit et automatique. Plus besoin de gérer manuellement des certificats longs.

L’automatisation change tout

C’est le vrai sujet. Un certificat de 15 ans semble pratique… jusqu’à ce qu’on réalise que le renouvellement devrait déjà être automatisé. Si ce n’est pas le cas, le problème n’est pas la durée du certificat, mais l’absence de pipeline.

Les bonnes pratiques DevOps veulent que les certificats soient gérés comme n’importe quelle autre ressource : créés, surveillés et renouvelés automatiquement. Le cycle de 90 jours force cette discipline.

Le risque de tout automatiser

Certaines plateformes proposent aujourd’hui de choisir automatiquement le type de certificat et la méthode de validation. En théorie, un certificat de 15 ans pourrait être géré de la même façon qu’un certificat de 90 jours.

Mais il y a un inconvénient : la visibilité. Les développeurs aiment voir les rotations se produire. C’est un point de contrôle. Un certificat qui ne bouge pas pendant 15 ans crée des zones d’ombre.

Dans quels cas un certificat long est utile

Il existe quelques situations où un certificat de 15 ans a du sens :

• Services internes derrière Cloudflare
• Environnements de test ou de staging
• Systèmes embarqués difficiles à mettre à jour (IoT)
• Certificats de secours pour la reprise d’activité

Ce que cela change vraiment

Même avec un certificat long, vos systèmes de surveillance doivent rester actifs. Vos pipelines CI/CD doivent tester les mises à jour. Votre documentation doit rester à jour.

Un certificat de 15 ans ne résout pas le problème opérationnel. Il le repousse.

Ce qu’il faut retenir

Le message n’est pas « allez chercher un certificat de 15 ans ». C’est que l’écosystème SSL s’est organisé autour de l’automatisation, et que c’est une bonne chose.

Si vous voulez simplifier la gestion des certificats, concentrez-vous sur :

• Une automatisation solide
• Des alertes fiables
• Des tests de reprise d’activité
• Une documentation claire

Un certificat long ne vous apportera pas la tranquillité. Une bonne automatisation, si.

L’avantage Cloudflare

Si vous utilisez Cloudflare devant vos serveurs, vous avez accès à ces certificats longs. C’est une option intéressante pour certains cas précis, mais rarement pour la production.

En résumé

Le fait que les certificats de 15 ans existent, mais que presque personne ne les utilise, montre que l’industrie a trouvé une meilleure approche. Le cycle de 90 jours, rendu possible par l’automatisation gratuite, a poussé tout le monde vers de meilleures pratiques.

Parfois, la meilleure fonctionnalité est celle qui vous oblige à faire les choses correctement.