Certificats de 64 jours Let's Encrypt : ce qui change en février 2027 et ce qu'il faut vérifier

Ce qui change, et quand

À partir du 10 février 2027, Let's Encrypt délivre par défaut des certificats de 64 jours à tous ses abonnés. Seule exception : ceux qui ont déjà choisi une durée plus courte, 45 ou 6 jours, deux options déjà proposées. Tout certificat émis ou renouvelé à partir de cette date est valable 64 jours. Les certificats de 90 jours existants ne sont pas révoqués : ils expirent à leur propre date, et Let's Encrypt prévoit que le dernier expirera le 11 mai 2027.

L'environnement de staging, la version de test du service, passe aux certificats de 64 jours dès le 14 octobre 2026, pour que vous puissiez tester un renouvellement avant que la production change. Les chaînes de certificats, les endpoints ACME utilisés par votre client et les limites de débit restent les mêmes.

Un second changement arrive en même temps : une validation de domaine peut être réutilisée pendant 10 jours au lieu de 30. Sauf si votre client ACME a été conçu pour compter sur cette réutilisation, vous n'avez rien à changer. Let's Encrypt prévoit d'aller plus loin en 2028, avec des certificats de 45 jours par défaut et une réutilisation de la validation limitée à 7 heures.

Selon Let's Encrypt, la raison est la sécurité : des durées plus courtes réduisent le risque lié aux clés compromises et aux certificats émis par erreur. Il s'agit de la règle d'une autorité de certification, pas d'une loi, et ce guide ne constitue pas un conseil juridique.

Qui doit agir

Si votre hébergeur, votre CDN ou une plateforme WordPress infogérée émet le certificat pour vous, c'est son automatisation qui doit gérer le changement, pas vous. Il reste utile de regarder les dates du certificat de votre site après février : un certificat expiré affiche aux visiteurs un avertissement du navigateur en pleine page, quel que soit celui qui a oublié de le renouveler.

Si vous gérez votre propre serveur avec un client ACME comme Certbot, vérifiez qu'il prend en charge ACME Renewal Info (ARI). Avec ARI, Let's Encrypt indique au client quand renouveler, et la durée plus courte est gérée pour vous. La documentation de votre client indique si ARI est implémenté.

Ce sont les configurations qui renouvellent selon un calendrier fixe qui vont échouer. Let's Encrypt conseille de chercher dans les tâches cron, les scripts et les procédures des nombres codés en dur comme 83, 80 ou 60. Une tâche qui renouvelle quand le certificat a 60 jours ne laisse que 4 jours de marge sur un certificat de 64 jours. Une tâche qui attend 80 ou 83 jours renouvelle alors que le certificat a déjà expiré. Let's Encrypt recommande plutôt de renouveler aux deux tiers environ de la durée : vers le 43e jour sur 64, avec environ trois semaines de marge.

Comment vérifier le certificat de votre site

Dans le navigateur : cliquez sur l'icône à gauche de l'adresse, ouvrez les détails du certificat et lisez l'émetteur et les deux dates de validité, début et expiration. L'écart entre les deux est la durée du certificat. Après le 10 février 2027, un certificat Let's Encrypt récent affiche 64 jours.

Dans un terminal, la commande ci-dessous affiche l'émetteur du certificat et ses dates de validité. Lancez-la pour les deux adresses du site, avec et sans www, car chacune peut avoir son propre certificat.

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -issuer -dates

Testez le renouvellement avant février

Si vous gérez vous-même le client ACME, pointez-le vers l'environnement de staging de Let's Encrypt après le 14 octobre 2026 et lancez un renouvellement. Le certificat de test doit revenir avec 64 jours de validité, et la date de renouvellement indiquée par votre client doit tomber bien avant l'expiration.

Vérifiez aussi les étapes qui suivent le renouvellement : recharger le serveur web, copier le certificat vers un répartiteur de charge ou un CDN, redémarrer un serveur de messagerie qui utilise le même certificat. Avec des durées plus courtes, ces étapes reviennent plus souvent, et une étape qui ne marche que si quelqu'un la fait à la main échoue plus tôt.

Let's Encrypt suggère aussi d'ajouter une alerte en cas d'échec du renouvellement. Un renouvellement raté ne se voit pas : le site continue de fonctionner avec l'ancien certificat jusqu'au jour où il expire.

Ce qui peut encore bloquer un renouvellement

Plus de renouvellements, c'est plus d'occasions pour qu'autre chose s'en mêle. Un enregistrement CAA dans votre DNS indique quelles autorités peuvent émettre des certificats pour le domaine ; si quelqu'un le modifie en oubliant Let's Encrypt, le renouvellement suivant est refusé. Un challenge HTTP échoue quand un pare-feu, une redirection ou une page de maintenance répond à la requête de validation à la place du serveur. Un challenge DNS échoue quand les identifiants d'API du fournisseur DNS ne fonctionnent plus.

Rien de tout cela ne se voit sur le site avant l'expiration de l'ancien certificat. Avec un certificat de 64 jours renouvelé à temps, il reste environ trois semaines entre le renouvellement raté et l'avertissement du navigateur.

Comment Relvato le détecte

Le monitor SSL certificate de Relvato se connecte à votre site en HTTPS et lit son certificat : l'émetteur, la date d'expiration et les jours restants. Il signale un problème quand le certificat a expiré ou n'est pas reconnu comme fiable (auto-signé, émis pour un autre nom ou avec une chaîne incomplète), et un avertissement quand il expire dans 14 jours ou moins. Il vérifie de la même façon l'autre adresse du site, avec ou sans www, et avertit si le serveur accepte encore TLS 1.0 ou 1.1. Aucune extension n'est nécessaire.

Un certificat de 64 jours renouvelé comme prévu a encore environ trois semaines devant lui au moment du renouvellement : l'avertissement à 14 jours n'apparaît donc que si un renouvellement est bloqué. Il vous reste alors deux semaines pour corriger avant que les visiteurs voient un avertissement du navigateur. Le monitor lit le certificat tel qu'il est ; il ne se connecte pas à votre hébergeur et ne renouvelle rien lui-même.

Le monitor Certificates & subdomains vérifie que vos enregistrements CAA autorisent l'autorité qui émet votre certificat, pour qu'un changement DNS ne bloque pas le prochain renouvellement sans que personne ne s'en aperçoive. Il surveille aussi les journaux publics de certificats pour repérer ceux que vous n'avez pas demandés.

Avec l'offre Free, les monitors tournent quand vous cliquez sur Run, ou chaque semaine selon le calendrier que vous choisissez. Une exécution hebdomadaire tombe au moins une fois dans la fenêtre de 14 jours. À partir de Pro, ils tournent chaque jour.