J’apprends à l’instant que Let’s Encrypt va réduire la durée de ses certificats de 90 à 64 jours le 10 février 2027, puis à 45 jours en 2028.

Pour la plupart des entreprises, ça ne change pas grand-chose. Le changement qui va vous toucher est entré en vigueur en mars dernier. Il vise les certificats que vous achetez.

Un peu d’historique du chiffrement

Vous vous souvenez quand le cadenas apparaissait seulement sur la page de paiement? Le reste du site était en clair, parfois même la page de connexion.

L’argument de l’époque était la capacité des processeurs. Au début des années 2000, c’était vrai. Établir une connexion chiffrée coûtait cher en calcul. Les grandes organisations achetaient des cartes d’accélération ou confiaient le chiffrement à leur équilibreur de charge.

Cet argument est mort en 2010. Google a activé HTTPS par défaut sur Gmail sans ajouter de serveur. Le résultat publié par Google : moins de 1 % de la charge processeur, moins de 10 Ko de mémoire par connexion et moins de 2 % de trafic réseau supplémentaire. La même année, Intel intégrait le chiffrement AES directement dans ses processeurs.

Ce qui bloquait était ailleurs. Un certificat coûtait de l’argent chaque année. Il fallait le demander, le faire valider, l’installer à la main et surveiller son expiration. Pour un site web, personne ne voyait le bénéfice.

Plusieurs événements ont fait bouger les choses. En 2010, l’extension Firefox Firesheep permet à n’importe qui dans un café de voler la session Facebook de son voisin sur le même Wi-Fi. En 2013, Edward Snowden révèle l’ampleur de la surveillance du trafic non chiffré. En 2014, Google fait de HTTPS un critère de classement dans ses résultats de recherche.

Le vrai changement arrive à la fin de 2015. Let’s Encrypt émet des certificats gratuits, renouvelés automatiquement par un protocole appelé ACME (Automatic Certificate Management Environment). Le coût et le travail manuel disparaissent. En juillet 2018, Chrome affiche « Non sécurisé » sur tout site en HTTP.

Où nous en sommes

En 2015, 30 à 45 % des navigations dans Chrome étaient en HTTPS. Aujourd’hui, on approche 100 %. Un site sans chiffrement est l’exception.

Ce mois-ci, Chrome 154 va plus loin. Il affiche un avertissement avant d’ouvrir un site public sans HTTPS. Le visiteur doit cliquer pour continuer. Les adresses internes, comme 192.168.0.1 ou « intranet/ », sont exclues.

Une vieille page oubliée sur un sous-domaine en HTTP? Vos clients voient maintenant un avertissement avant de vous voir.

Un autre changement : la durée de vie des certificats

Un certificat est la carte d’identité de votre site. Il prouve au navigateur que vous êtes le propriétaire du domaine. Une fois expiré, le navigateur affiche une page d’erreur plein écran. La plupart des visiteurs s’arrêtent là.

Il y a dix ans, un certificat pouvait durer environ trois ans. Depuis 2020, c’est 398 jours maximum.

En avril 2025, le CA/Browser Forum (le regroupement des autorités de certification et des fabricants de navigateurs) a adopté ce calendrier, pour les certificats émis à partir de ces dates :

  • 15 mars 2026 : 200 jours maximum
  • 15 mars 2027 : 100 jours maximum
  • 15 mars 2029 : 47 jours maximum

Un certificat installé à la main une fois par année doit maintenant l’être deux fois. Environ quatre fois à partir de 2027. Environ huit fois en 2029.

Pourquoi? La révocation, le mécanisme qui annule un certificat volé ou émis par erreur, fonctionne mal. Un certificat de 47 jours volé devient inutile au bout de 47 jours au plus.

Ce qui va briser chez vous

Votre site chez un hébergeur moderne? Probablement rien. Le renouvellement y est déjà automatique.

Le risque est dans les équipements où le certificat s’installe à la main : le portail d’accès à distance (VPN) du coupe-feu, Outlook Web Access sur un serveur Exchange interne, la passerelle Bureau à distance, le portail client de votre progiciel de gestion (ERP) ou le serveur de fichiers (NAS) accessible de l’extérieur.

Souvent, une seule personne chez votre fournisseur de services gérés (MSP) connaît la procédure. Elle la refait de mémoire une fois par année.

Huit renouvellements par année, c’est huit occasions d’oublier.

Microsoft a oublié. Le 3 février 2020, Teams a été en panne environ trois heures pour des millions d’utilisateurs. La cause était un certificat expiré.

Vous comptiez sur le courriel d’avertissement de Let’s Encrypt? Il n’existe plus depuis juin 2025.

Vos scripts renouvellent à intervalle fixe, tous les 60 jours par exemple? Avec un certificat de 64 jours, il vous reste 4 jours de marge.

Le problème qu’aucune règle ne touche : les certificats autosignés

Lors de mes tests d’intrusion, je vois encore beaucoup de services exposés à Internet avec un certificat autosigné. C’est un certificat que l’équipement a fabriqué lui-même. Aucune autorité ne le garantit.

Je les trouve sur des interfaces d’administration de coupe-feu, de commutateurs et de serveurs, sur des portails VPN et sur des NAS.

Le calendrier du CA/Browser Forum ne les touche pas. Personne ne les émet, à part l’appareil lui-même.

Un certificat autosigné chiffre la connexion. Il ne prouve pas que vous parlez au bon appareil. Un attaquant placé au milieu peut présenter son propre certificat. L’avertissement du navigateur sera identique à celui de tous les jours.

Le vrai dommage est là. Un certificat expiré ou autosigné habitue vos employés à cliquer « Continuer quand même ». C’est exactement le réflexe qu’un attaquant veut leur voir.

Et une interface d’administration accessible depuis Internet est un problème plus grave que son certificat.

Ce que les normes en disent

ISO 27001 ne fixe pas de durée de certificat. Par contre, l’annexe A, mesure 8.24 (utilisation de la cryptographie), exige des règles de gestion des clés, y compris leur cycle de vie. La mesure 5.9 exige un inventaire des actifs.

Un certificat absent de l’inventaire n’a pas de propriétaire. Il finit par expirer un vendredi soir.

Voici quelques questions posées en audit : montrez-moi la liste de vos certificats, leur date d’expiration et qui les renouvelle.

Du côté de la Loi 25, l’article 10 de la loi sur le secteur privé exige des mesures de sécurité raisonnables selon la sensibilité des renseignements personnels. Un formulaire qui recueille des renseignements personnels sur une page non chiffrée, en 2026, ne se défend pas du tout.

En pratique

Minimalement, voici ce que je ferais :

  1. Vérifiez votre site principal. C’est ce que je fais en premier, avec l’outil loi25.certi360.com (rapide et gratuit).
  2. Créez l’inventaire de vos certificats exposés à Internet : domaine, équipement, émetteur, date d’expiration, responsable. Le site gratuit crt.sh liste tous les certificats publics émis pour votre domaine. Vous allez y trouver des sous-domaines oubliés. Les certificats autosignés n’y sont pas. Cherchez-les équipement par équipement.
  3. Classez chaque certificat : renouvellement automatique ou manuel.
  4. Pour chaque certificat manuel, demandez à votre fournisseur MSP si l’équipement supporte ACME. Plusieurs coupe-feu récents le font. Sinon, placez devant l’équipement un équilibreur de charge ou un service infonuagique qui gère le certificat. Ou planifiez son remplacement.
  5. Remplacez les certificats autosignés exposés à Internet. Mieux, retirez les interfaces d’administration d’Internet et passez par le VPN.
  6. Surveillez l’expiration de l’extérieur, avec une alerte à 30 jours vers une adresse partagée, pas vers une seule personne.
  7. Si vous utilisez Let’s Encrypt, testez vos renouvellements dans leur environnement de test (staging) dès le 14 octobre 2026. Cherchez les délais codés en dur dans vos scripts, comme 60, 80 ou 83 jours. Renouvelez autour des deux tiers de la durée de vie, pas à une date fixe. Vérifiez que votre client ACME supporte ARI, la fonction qui laisse Let’s Encrypt dire à votre outil quand renouveler.
  8. Vérifiez vos sous-domaines : aucun ne doit servir une page publique en HTTP.

Bref

Le chiffrement est réglé depuis longtemps. Ce qui reste, c’est la discipline du renouvellement, presque mensuelle d’ici 2029. Combien de certificats, chez vous, sont installés à la main par une seule personne?

Vous voulez savoir où vous en êtes? Parlons-en.

Références