Let’s Encrypt réduit ses certificats à 64 jours : pourquoi un cadenas qui périme vite protège mieux

Le cadenas affiché par le navigateur repose sur un certificat, une petite pièce d’identité numérique que le site présente à chaque visite. Let’s Encrypt, l’autorité à but non lucratif qui en distribue gratuitement, a annoncé le 7 octobre 2026 que les siens ne vivront plus que 64 jours au lieu de 90, à partir du 10 février 2027.

Pour l’internaute, rien de visible. Pour celui qui héberge un site, un NAS ou un serveur domotique derrière un certificat Let’s Encrypt, tout dépend de la façon dont le renouvellement est programmé.

Pourquoi raccourcir

Un certificat est lié à une clé privée, gardée sur le serveur. Si cette clé est volée, le voleur peut se faire passer pour le site jusqu’à l’expiration du certificat. Une durée de vie courte borne les dégâts : Let’s Encrypt invoque ce risque et celui d’un certificat délivré par erreur.

Avant l’arrivée de Let’s Encrypt, les certificats duraient couramment un à trois ans, rappelle Ars Technica. Les 90 jours servaient déjà à forcer l’automatisation : personne ne renouvelle à la main tous les trois mois sans finir par oublier. La suite est tracée : 45 jours par défaut en 2028, et des durées de 45 ou 6 jours sont déjà proposées en option.

Le piège des chiffres écrits en dur

Le renouvellement se fait par le protocole ACME, que parlent des outils comme Certbot ou acme.sh. Deux cas se présentent.

Si le client gère ARI (ACME Renewal Information), c’est Let’s Encrypt qui lui indique quand renouveler. Il n’y a rien à faire.

Sinon, le délai est souvent figé dans une tâche planifiée. Let’s Encrypt conseille de chercher les nombres 83, 80 et 60 dans les tâches cron et les scripts. Un script qui renouvelle tous les 80 jours laissera un certificat de 64 jours expirer seize jours avant d’agir. À 60 jours, il resterait quatre jours de marge, ce qui ne pardonne aucune panne.

La consigne : renouveler vers les deux tiers de la durée de vie, soit autour du 43e jour pour un certificat de 64 jours.

Ce qui ne change pas

Les certificats en cours ne seront pas révoqués, les limites d’émission restent les mêmes, les adresses des serveurs ACME aussi. Seule autre modification : la validation d’un domaine ne sera réutilisable que 10 jours au lieu de 30, puis 7 heures en 2028. Selon Let’s Encrypt, cela ne concerne que les clients conçus pour s’appuyer sur cette réutilisation.

C’est aussi l’occasion d’ajouter ce que beaucoup d’installations n’ont jamais eu : une alerte quand le renouvellement échoue.

En bref

• Let’s Encrypt émettra des certificats de 64 jours au lieu de 90 à partir du 10 février 2027.
• Avec un client ACME qui gère ARI, le renouvellement s’ajuste tout seul.
• Les scripts qui renouvellent à 60, 80 ou 83 jours doivent être corrigés pour viser les deux tiers de la durée de vie.
• Tests possibles en staging dès le 14 octobre 2026 ; 45 jours par défaut en 2028.

Sources : Let’s Encrypt, annonce du 7 octobre 2026 ; Ars Technica (8 octobre 2026)

Le Bien Heureux · Rédaction Capibara · Samedi 10 octobre 2026