--- title: "Certificats de courte durée, sécurité renforcée : pourquoi le renouvellement SSL évolue" description: "Les certificats TLS publics passent progressivement à 47 jours. Calendrier, bénéfices de sécurité et renouvellement automatisé avec ACME dans le cloud et à l’edge." canonical_url: https://optimi.com/fr/news/47-day-ssl-certificates-acme-cdn md_url: https://optimi.com/fr/news/47-day-ssl-certificates-acme-cdn.md last_updated: 2026-10-27 --- # Certificats de courte durée, sécurité renforcée : pourquoi le renouvellement SSL évolue Le web évolue vers des certificats valables 47 jours. Comprenez le calendrier, les objectifs de sécurité et le rôle de l’automatisation pour maintenir vos services cloud et edge à jour. Pendant des années, de nombreuses organisations ont traité le renouvellement SSL comme une tâche annuelle : acheter un certificat, l’installer et programmer un rappel pour l’année suivante. Le secteur passe désormais à un cycle beaucoup plus court. **Depuis le 15 mars 2026, les nouveaux certificats TLS publics ont une durée de validité maximale de 200 jours. À partir du 15 mars 2029, cette limite sera de 47 jours.** Les certificats couramment appelés « certificats SSL » sont des [certificats TLS](/fr/guides/tls-https-web-security). Ils associent un nom de domaine à une clé publique et permettent au navigateur d’authentifier le serveur lors de l’établissement d’une connexion chiffrée. Réduire leur durée de validité limite le temps pendant lequel cette preuve reste valable, avec des conséquences sur la sécurité comme sur l’exploitation quotidienne. ## Qu’est-ce qui change, et qui en a décidé ? Le **CA/Browser Forum** réunit les autorités de certification et les éditeurs de navigateurs et de systèmes d’exploitation, notamment Apple, Google, Microsoft et Mozilla. Il définit les exigences de base applicables aux certificats reconnus publiquement, que ces éditeurs intègrent à leurs politiques de confiance. En avril 2025, le Forum a approuvé la [proposition SC-081v3](https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/), portée par Apple. Elle prévoit une réduction progressive de la durée des certificats et de la période pendant laquelle une autorité de certification peut réutiliser une preuve de contrôle du domaine : | Date d’émission du certificat | Validité maximale du certificat | Réutilisation maximale de la validation du domaine | | --- | --- | --- | | Avant le 15 mars 2026 | 398 jours | 398 jours | | À partir du 15 mars 2026 | 200 jours | 200 jours | | À partir du 15 mars 2027 | 100 jours | 100 jours | | À partir du 15 mars 2029 | **47 jours** | **10 jours** | Il s’agit des plafonds fixés par les [exigences de base TLS](https://cabforum.org/working-groups/server/baseline-requirements/requirements/) ; les autorités de certification peuvent choisir des durées plus courtes. Chaque échéance s’applique aux certificats nouvellement émis, y compris lors d’un renouvellement. Les certificats déjà délivrés conservent leur date d’expiration initiale. Cette politique concerne les certificats TLS de serveur reconnus publiquement ; ceux émis par l’autorité privée interne d’une organisation n’entrent pas dans son périmètre. **La limite de 10 jours pour la validation compte elle aussi.** À partir de mars 2029, une autorité qui émet un certificat devra disposer d’une preuve de contrôle du domaine obtenue au cours des 10 jours précédents. La validation devra donc être renouvelée plus souvent lors des émissions de certificats. Cette limite ne signifie pas que les certificats expireront tous les 10 jours. Certaines autorités avancent plus vite. [Let’s Encrypt prévoit](https://letsencrypt.org/2025/12/02/from-90-to-45/) de faire passer la durée par défaut de ses certificats de 90 à 64 jours le 10 février 2027, puis à 45 jours le 16 février 2028. Son profil optionnel `tlsserver` propose déjà des certificats de 45 jours. ## Pourquoi une durée plus courte améliore la sécurité Un certificat atteste d’une situation vérifiée à un instant donné. Avec le temps, les domaines changent de propriétaire, les infrastructures évoluent, des clés privées peuvent fuiter et des faiblesses peuvent apparaître dans les logiciels cryptographiques. Plus un certificat reste valable longtemps, plus les garanties initiales risquent de ne plus correspondre à la réalité. Le secteur poursuit quatre objectifs complémentaires : - **Réduire la période pendant laquelle un certificat peut être utilisé à mauvais escient.** Un certificat émis à tort, ou dont la clé privée a été volée, arrive plus vite à expiration. Renouveler aussi la clé privée évite de réutiliser une clé compromise dans un nouveau certificat. - **Disposer de preuves de contrôle du domaine plus récentes.** Des validations plus fréquentes réduisent le risque d’émettre des certificats à partir d’éléments périmés, notamment après un changement de propriétaire du domaine. - **Moins dépendre des vérifications de révocation.** La révocation reste nécessaire, mais son efficacité dépend de la rapidité du signalement, de la diffusion de l’information et du comportement des clients. L’expiration impose une limite ferme à la validité du certificat, même lorsque ces mécanismes sont défaillants. - **Appliquer plus vite les évolutions de sécurité.** Des remplacements fréquents facilitent l’abandon d’algorithmes, de clés ou de chaînes de certification affectés lorsque les exigences changent ou que des faiblesses sont découvertes. Le bénéfice de sécurité vient de preuves plus récentes et d’une période d’exposition plus courte. Une automatisation fiable rend ces remplacements fréquents réalisables au quotidien. ## Ce que cela implique pour le renouvellement Avec un certificat valable 47 jours, renouveler aux deux tiers environ de sa durée de validité revient à intervenir à peu près une fois par mois. Sur des centaines de noms d’hôtes et plusieurs plateformes, une opération de maintenance occasionnelle devient une responsabilité permanente. Chaque renouvellement doit aboutir assez tôt pour laisser le temps de corriger un échec de validation ou de déploiement. Les contrôles du domaine doivent pouvoir être répétés, les certificats doivent parvenir aux bons points d’accès et les équipes doivent être informées des échecs. Un rappel dans un calendrier et un téléversement manuel deviennent de plus en plus difficiles à tenir à cette échelle. C’est là qu’ACME apporte une réponse concrète. ## ACME : le standard du renouvellement automatisé des certificats **ACME signifie Automatic Certificate Management Environment**, ou environnement de gestion automatique des certificats. Défini par la [RFC 8555](https://www.rfc-editor.org/rfc/rfc8555), ce protocole ouvert permet à un logiciel de demander des certificats et de prouver le contrôle d’un domaine directement auprès d’une autorité de certification. Un client ACME peut fonctionner sur votre propre infrastructure ou au sein d’un service d’hébergement ou d’edge managé. Il prend en charge les échanges qui nécessiteraient autrement des demandes, des messages de validation et des téléchargements de certificats : 1. **Prouver le contrôle du domaine.** Le client répond à un challenge de l’autorité de certification. Les méthodes courantes utilisent un jeton accessible en HTTP ou un enregistrement DNS de type TXT. 2. **Obtenir le certificat.** Après validation et réalisation des contrôles requis, l’autorité signe un certificat pour les noms demandés et la clé publique fournie. La clé privée correspondante reste sous le contrôle du client ou de la plateforme d’hébergement. 3. **Renouveler avant expiration.** Le client demande un certificat de remplacement et effectue une nouvelle validation si nécessaire. La planification tient compte de la durée du certificat ou de la période de renouvellement recommandée par l’autorité, lorsque cette fonction est prise en charge. Le choix de la [méthode de validation](https://letsencrypt.org/fr/docs/challenge-types/) dépend de l’infrastructure. En HTTP, la réponse au challenge doit rester accessible à travers les couches de routage et de sécurité concernées. La validation DNS prouve le contrôle du domaine indépendamment du chemin du trafic web et permet d’émettre des certificats génériques, dits wildcard. Son automatisation nécessite des droits DNS limités au périmètre utile ou une zone de validation déléguée. ACME est largement utilisé par des autorités proposant des certificats gratuits, dont Let’s Encrypt, ainsi que par des fournisseurs commerciaux. Un certificat gratuit reconnu par les navigateurs permet le même chiffrement TLS qu’un certificat payant comparable. Les offres payantes peuvent ajouter la validation de l’organisation, du support ou d’autres services ; l’intérêt d’ACME est de fournir un processus de renouvellement standardisé et reproductible entre fournisseurs compatibles. L’automatisation permet aussi d’attribuer plus facilement à chaque plateforme des certificats limités aux noms d’hôtes qu’elle sert, avec des clés privées distinctes. Cela réduit les conséquences d’une fuite de clé dans un environnement. ## Du renouvellement automatique au déploiement à l’échelle de l’entreprise L’émission constitue une étape du cycle de vie. Le certificat renouvelé doit aussi être publié de manière sécurisée, activé et vérifié sur les systèmes qui le présentent. Un client intégré ou une plateforme managée peut assurer ce déploiement ; avec plusieurs fournisseurs, il faut coordonner les interfaces et les configurations propres à chaque plateforme. **Le cycle de vie automatisé des certificats** ![Un client ACME demande ou renouvelle un certificat, prouve le contrôle du domaine par un challenge DNS ou HTTP et obtient un certificat signé par une autorité de certification. Des intégrations publient les certificats de manière sécurisée sur les CDN, les services cloud et edge et les passerelles assurant la terminaison TLS. Chaque point d’accès est vérifié et le cycle reprend avant expiration.](/diagrams/47-day-ssl-certificates-acme-cdn/acme-lifecycle-fr.svg) *ACME automatise la validation et l’émission. Les intégrations du client ou de la plateforme complètent le cycle en publiant les certificats sur les bons points d’accès et en vérifiant leur déploiement. Les certificats et les clés privées peuvent avoir un périmètre distinct pour chaque plateforme.* À l’échelle d’une entreprise, gérer SSL avec ACME peut rester complexe : plusieurs CDN, services edge et pare-feu assurant la terminaison TLS ont chacun leurs chemins de validation, leurs contrôles d’accès et leurs exigences de déploiement. Chaque renouvellement doit parvenir à tous les points d’accès concernés, y compris aux infrastructures de secours. **Optimi Console vous permet de piloter le cycle de vie ACME sur plusieurs clouds, en coordonnant le renouvellement et la publication sécurisés des certificats sur vos plateformes connectées.** Elle réunit ce travail multi-fournisseurs à mesure que la durée des certificats se réduit. **Préparez-vous à des certificats de plus courte durée** Échangez avec Optimi sur l’automatisation du renouvellement et la publication sécurisée des certificats sur vos infrastructures CDN, cloud et edge. [Échanger avec l’équipe Optimi](/fr/contact)