« Votre connexion n’est pas privée. » Le site de l’entreprise affiche une alerte rouge, la messagerie refuse de se connecter, l’application métier ne répond plus : un certificat TLS a expiré, et personne ne s’en est aperçu. C’est l’une des pannes les plus banales et les plus évitables. Elle va devenir plus fréquente : la durée maximale des certificats publics a été réduite à 200 jours en mars 2026, et descendra à 47 jours d’ici 2029. Le renouvellement manuel n’est plus une option. Voici comment automatiser à la fois le renouvellement et la surveillance.
L’essentiel en 30 secondes
- Durée maximale des certificats publics : 200 jours depuis le 15 mars 2026, 100 jours en mars 2027, 47 jours en mars 2029.
- Seule solution durable : le renouvellement automatique via le protocole ACME (Let’s Encrypt, ZeroSSL, autorités commerciales compatibles).
- Automatiser ne suffit pas : il faut aussi surveiller, car un renouvellement peut échouer silencieusement.
- Commencez par un inventaire : sites, messagerie, VPN, NAS, imprimantes, applications internes.
Pourquoi les certificats raccourcissent
En avril 2025, le CA/Browser Forum, qui réunit autorités de certification et éditeurs de navigateurs, a adopté une réduction progressive de la durée de validité maximale des certificats TLS publics : 398 jours jusqu’en mars 2026, puis 200 jours, 100 jours à partir du 15 mars 2027 et 47 jours à partir du 15 mars 2029. La durée pendant laquelle une validation de domaine peut être réutilisée diminue aussi. Objectif : limiter la durée d’exploitation d’un certificat compromis et obliger à l’automatisation.
Autre changement à connaître : Let’s Encrypt n’envoie plus d’e-mails d’avertissement avant expiration depuis juin 2025. Si vous comptiez sur ces messages, vous n’êtes plus prévenu.
Étape 1 : inventorier tous vos certificats
Les oublis viennent rarement du site principal. Ce sont plutôt :
- le sous-domaine d’une ancienne application, la page de webmail, l’extranet ;
- le VPN SSL, le pare-feu, l’interface du NAS ;
- les connecteurs de messagerie (SMTP sécurisé) ;
- les certificats internes émis par votre propre autorité (Active Directory Certificate Services) ;
- les certificats installés dans des équipements (imprimantes, caméras, bornes Wi-Fi).
Astuce : les journaux de transparence des certificats (Certificate Transparency) recensent tous les certificats publics émis pour votre domaine. Une recherche sur crt.sh avec %.votredomaine.fr révèle souvent des sous-domaines oubliés.
Étape 2 : automatiser le renouvellement
| Environnement | Outil | Remarque |
|---|---|---|
| Serveur Linux (Apache, Nginx) | Certbot ou acme.sh | Renouvellement par tâche planifiée, rechargement du service |
| Serveur Windows (IIS) | win-acme | Tâche planifiée, liaison IIS mise à jour automatiquement |
| Proxy inverse | Caddy, Traefik | Gestion des certificats intégrée et automatique |
| Hébergement mutualisé | Fonction AutoSSL de l’hébergeur | Vérifier qu’elle couvre tous les sous-domaines |
| Équipements (pare-feu, NAS) | Client ACME intégré si disponible | Sinon, procédure documentée et alerte anticipée |
| Certificats internes | Inscription automatique par GPO | Modèles de certificats avec renouvellement automatique |
Pour les domaines non accessibles depuis Internet ou les certificats génériques (*.domaine.fr), utilisez la validation par DNS (défi DNS-01) avec l’API de votre bureau d’enregistrement, en limitant les droits du jeton API à la zone concernée.
Étape 3 : surveiller l’expiration
Vérification manuelle rapide
echo | openssl s_client -connect www.exemple.fr:443 -servername www.exemple.fr 2>/dev/null | openssl x509 -noout -enddate -issuerSur un serveur Windows
Get-ChildItem Cert:\LocalMachine\My |
Where-Object NotAfter -lt (Get-Date).AddDays(21) |
Select-Object Subject, NotAfterSurveillance continue
- Gatus ou Uptime Kuma : vérifient chaque URL et alertent quand l’expiration approche. Voir notre guide Gatus.
- Prometheus et blackbox_exporter : la métrique
probe_ssl_earliest_cert_expiryalimente une alerte à 14 jours. - Votre outil de supervision existant (Zabbix, NetXMS) dispose généralement d’un contrôle de certificat.
Avec des certificats de 200 jours ou moins renouvelés automatiquement environ un tiers avant leur fin de validité, une alerte à 14 ou 21 jours signale à coup sûr un renouvellement en échec, et laisse le temps de corriger.
Étape 4 : surveiller aussi la qualité
Un certificat valide mal installé pose aussi problème : chaîne intermédiaire manquante, protocole obsolète (TLS 1.0 ou 1.1), nom ne correspondant pas. Un test périodique avec un outil d’analyse en ligne, et nos recommandations sur les en-têtes de sécurité HTTP (HSTS notamment), complètent la surveillance.
Les erreurs à éviter
- Renouveler le certificat sans recharger le service qui l’utilise.
- Laisser un ancien serveur répondre sur un sous-domaine avec un certificat qu’il ne renouvelle plus.
- Stocker la clé privée sur un partage réseau accessible à tous.
- Confier le renouvellement à une seule personne et à un seul rappel dans son agenda.
- Oublier les équipements qui ne savent pas renouveler seuls : avec 47 jours, ils deviendront ingérables.
Questions fréquentes
Les certificats internes sont-ils concernés par la réduction à 47 jours ?
Non, la règle s’applique aux certificats publics reconnus par les navigateurs. Vos certificats internes suivent votre propre politique, mais leur renouvellement mérite aussi d’être automatisé.
Un certificat gratuit est-il moins sûr qu’un certificat payant ?
Non. Le chiffrement est identique. Les certificats payants peuvent offrir une validation de l’organisation, une garantie ou un support, mais pas une meilleure sécurité de la connexion.
Que faire si un certificat a expiré ?
Renouvelez-le immédiatement (relance manuelle du client ACME), rechargez le service, puis cherchez la cause de l’échec : défi bloqué par un pare-feu, enregistrement DNS modifié, jeton expiré.
Faut-il surveiller les certificats des fournisseurs ?
Pour les services critiques dont vous dépendez (API, passerelle de paiement), une surveillance de disponibilité suffit : elle détectera l’erreur, quelle qu’en soit la cause.
Sources
- CA/Browser Forum, bulletin SC-081 sur la réduction des durées de validité (avril 2025).
- Let’s Encrypt, fin des e-mails d’avertissement d’expiration.
- IETF, RFC 8555 (protocole ACME).
- crt.sh, recherche dans les journaux Certificate Transparency.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous prenons en charge la gestion des certificats dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
