Un certificat SSL gratuit qui expire tous les 90 jours peut sembler être une contrainte, jusqu'à ce qu'on comprenne que cette courte durée est justement ce qui rend tout le système fiable à grande échelle, grâce à une automatisation bien pensée dès le départ.
Pourquoi Let's Encrypt limite la validité à 90 jours
Let's Encrypt, l'autorité de certification gratuite utilisée par une très large part du web, a volontairement choisi une durée de validité courte de 90 jours. L'objectif n'est pas de compliquer la vie des administrateurs, mais au contraire d'imposer une automatisation systématique du renouvellement, plutôt que de compter sur une intervention humaine ponctuelle, bien plus sujette à l'oubli. Un système conçu pour être renouvelé automatiquement toutes les quelques semaines finit, paradoxalement, par être plus fiable qu'un certificat valable plusieurs années qu'on oublie de surveiller.
Le protocole ACME expliqué simplement
Le renouvellement repose sur le protocole ACME (Automatic Certificate Management Environment) : un logiciel installé sur le serveur (le plus souvent Certbot, ou un équivalent intégré au panel d'hébergement) communique directement avec les serveurs de Let's Encrypt pour prouver que vous contrôlez bien le domaine, puis récupère et installe automatiquement le nouveau certificat, sans aucune intervention manuelle.
Comment le renouvellement se déclenche automatiquement
La pratique standard consiste à tenter le renouvellement dès que le certificat atteint environ 30 jours avant son expiration, soit vers le 60ᵉ jour sur les 90 jours de validité totale. Cette marge généreuse laisse plusieurs tentatives automatiques possibles en cas d'échec ponctuel, avant que l'expiration réelle ne devienne un risque.
Ce qui peut empêcher un renouvellement automatique de fonctionner
- Un changement de configuration DNS qui empêche la vérification de propriété du domaine requise par le processus ACME ;
- Un pare-feu ou une règle de sécurité bloquant temporairement la communication avec les serveurs de Let's Encrypt ;
- Une tâche planifiée (cron) désactivée ou en erreur sur un serveur géré manuellement, qui ne déclenche plus jamais la vérification de renouvellement.
Pourquoi cette automatisation profite aussi aux petites structures
Avant la généralisation de Let's Encrypt et de son renouvellement automatisé, obtenir et renouveler un certificat SSL représentait une démarche manuelle, parfois payante, que beaucoup de petites structures reportaient indéfiniment par manque de temps ou de compétence technique. L'automatisation complète de ce processus a changé la donne : un certificat valide et renouvelé sans intervention devient la norme par défaut, plutôt qu'une option réservée aux entreprises disposant d'une équipe technique dédiée. Cette démocratisation explique en grande partie la généralisation du HTTPS sur l'ensemble du web ces dernières années, y compris pour de très petits sites vitrines qui n'auraient probablement jamais investi dans un certificat payant nécessitant un suivi manuel régulier.
Un changement d'hébergeur en plein milieu d'un cycle de validité de 90 jours peut interrompre la chaîne de renouvellement automatique si le nouveau serveur n'est pas configuré pour reprendre cette tâche dès son activation. C'est une vérification à ne jamais négliger lors d'une migration : confirmer explicitement que le nouvel environnement dispose bien de son propre mécanisme de renouvellement actif pour le domaine concerné, plutôt que de supposer que l'ancien certificat continuera simplement à se renouveler comme avant depuis un serveur qui n'existe plus. Un hébergeur sérieux intègre cette vérification systématiquement dans sa procédure de migration, pour qu'aucune interruption de ce type ne survienne entre l'ancien et le nouvel environnement. Demander explicitement une confirmation de ce point lors de toute migration planifiée évite la découverte tardive, parfois plusieurs semaines après le changement, d'un certificat qui ne s'est simplement jamais renouvelé sur la nouvelle infrastructure.
Dois-je faire quelque chose chaque 90 jours sur mon hébergement VSP TECH ?
Non, sur un hébergement géré, ce renouvellement est automatisé et surveillé par l'hébergeur, sans action requise de votre part dans l'immense majorité des cas.
Que se passe-t-il si un renouvellement automatique échoue une fois ?
Le système retente généralement plusieurs fois avant l'échéance réelle, ce qui laisse une marge de sécurité confortable même en cas d'échec ponctuel isolé.
Let's Encrypt est-il aussi fiable qu'un certificat SSL payant ?
Oui sur le plan du chiffrement, qui est strictement identique techniquement. La différence se situe surtout sur certaines fonctionnalités avancées (validation étendue de l'organisation, garanties contractuelles) que seuls certains certificats payants proposent.
Sur les hébergements partagés et hébergements WordPress VSP TECH, le renouvellement des certificats SSL gratuits est automatisé et surveillé en continu. Pour vérifier le statut d'un certificat précis, contactez le support VSP TECH.
