Renouveler un certificat SSL : auto et payant

Renouvelez un certificat SSL : auto-renouvellement Let's Encrypt, étapes pour un certificat payant et préparation à des durées de validité plus courtes.

Questions fréquentes

Comment renouveler un certificat Let's Encrypt ?

Lancez `sudo certbot renew`. La commande ne renouvelle que les certificats proches de l'expiration, vous pouvez donc la programmer sans risque. La plupart des installations de Certbot incluent déjà une tâche planifiée qui s'en charge, et `sudo certbot renew --dry-run` teste le processus sur le serveur de test de Let's Encrypt sans enregistrer les certificats de test.

Quelle est la durée de validité d'un certificat SSL en 2026 ?

Selon le vote SC-081v3 du CA/Browser Forum, les certificats publics étaient plafonnés à 398 jours jusqu'au 15 mars 2026. Depuis cette date, le plafond est de 200 jours. Il passera à 100 jours le 15 mars 2027, puis à 47 jours le 15 mars 2029. Certaines autorités de certification émettent des certificats légèrement en dessous du plafond, et Let's Encrypt applique son propre calendrier, plus court.

Que se passe-t-il si mon certificat SSL expire ?

Les navigateurs affichent aux visiteurs un avertissement de sécurité en plein écran, et beaucoup refusent de continuer sans contournement manuel. Les clients d'API et les intégrations de paiement ou de connexion qui valident strictement les certificats peuvent échouer purement et simplement. Renouveler le certificat et installer le nouveau règle le problème, sans aucune action de la part des visiteurs une fois le nouveau certificat en place.

Renouveler, est-ce la même chose qu'acheter un nouveau certificat ?

Pour la plupart des certificats payants, un renouvellement est un nouveau certificat émis pour le même domaine, généralement avec une nouvelle validation et un CSR nouveau ou réutilisé. Certains fournisseurs accordent une remise ou regroupent les renouvellements, d'autres les traitent comme un achat classique. Consultez la politique de renouvellement de votre fournisseur plutôt que de supposer qu'une remise s'applique.

Pourquoi le renouvellement automatique Let's Encrypt ne fonctionne-t-il plus ?

Les causes habituelles : un timer ou une tâche cron supprimé ou désactivé, un serveur web qui ne répond plus à la requête de validation HTTP sur le port 80, un changement DNS, ou un certificat créé avec l'option manuelle sans script d'authentification. Les certificats wildcard nécessitent un plugin DNS pour se renouveler automatiquement. Lancez `sudo certbot renew --dry-run` et lisez l'erreur affichée.

En bref : si votre certificat vient de Let's Encrypt, lancez sudo certbot renew (ou laissez la tâche planifiée créée par votre installation de Certbot s'en occuper). Si vous l'avez acheté auprès d'une autorité de certification ou d'un revendeur, renouvelez-le depuis le tableau de bord du fournisseur, validez à nouveau le domaine, puis installez les nouveaux fichiers de certificat sur votre serveur ou votre hébergeur. Vérifiez ensuite la nouvelle date d'expiration dans un navigateur. La durée de vie maximale des certificats diminue aussi : plus tôt vous automatisez, moins vous aurez à le faire à la main.

D'abord : trouvez quand et où votre certificat expire

Avant de renouveler quoi que ce soit, vérifiez ce que vous avez réellement.

  1. Ouvrez votre site dans Chrome, cliquez sur le cadenas ou sur l'icône d'informations du site, ouvrez les détails du certificat et notez la date « Valid to » (valide jusqu'au) ainsi que l'émetteur.
  2. Ou vérifiez depuis un terminal : echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Si l'émetteur est Let's Encrypt, suivez la section sur le renouvellement automatique ci-dessous. S'il s'agit d'une autre autorité, vous avez probablement un certificat payant et devez suivre les étapes de renouvellement payant.
  4. Si votre site tourne sur un hébergeur géré ou un créateur de sites, la plateforme gère généralement le renouvellement elle-même. Cherchez un réglage SSL ou de sécurité du domaine avant de toucher aux fichiers.

Vous ne savez pas quel type vous avez ? Le guide des types de certificats SSL explique la validation de domaine, d'organisation et étendue, et l'entrée du glossaire qu'est-ce qu'un certificat SSL couvre les bases.

Quelle voie de renouvellement vous correspond

Votre situationQue faireEffort
Let's Encrypt via Certbot sur votre propre serveurVérifiez que la tâche planifiée certbot renew s'exécute, puis testez avec --dry-runFaible, surtout une fois pour toutes
Certificat d'une autorité de certification payante ou d'un revendeurRenouvelez dans le tableau de bord du fournisseur, validez, installez les nouveaux fichiersManuel, à chaque échéance
Hébergeur géré ou créateur de sites avec SSL intégréVérifiez le réglage SSL ; le renouvellement est normalement automatiqueMinimal
Certificat derrière un CDN ou un répartiteur de chargeRenouvelez au niveau du CDN ou du répartiteur, pas sur le serveur d'origineSelon la configuration

Renouveler un certificat Let's Encrypt (renouvellement automatique)

Les certificats Let's Encrypt sont conçus pour être renouvelés par un logiciel. La documentation de Certbot indique que la plupart des installations sont livrées avec le renouvellement automatique préconfiguré, grâce à une tâche planifiée qui exécute périodiquement certbot renew.

Pas à pas

  1. Vérifiez que la tâche planifiée existe. Sur les machines systemd, lancez systemctl list-timers et cherchez un timer Certbot. Sinon, consultez la crontab. La documentation de Certbot décrit ces deux emplacements.
  2. Faites un essai à blanc. sudo certbot renew --dry-run teste le renouvellement sur le serveur de test de Let's Encrypt. La commande obtient des certificats de test sans les enregistrer sur le disque : elle est donc sans danger sur un site en production.
  3. Corrigez ce qui est signalé. Les échecs typiques : un pare-feu qui bloque le port 80, une configuration du serveur web qui ne sert plus le chemin de validation, ou un DNS qui pointe ailleurs.
  4. Renouvelez dès maintenant si nécessaire. sudo certbot renew ne touche que les certificats proches de l'expiration ; l'exécuter plusieurs fois est donc sans conséquence.
  5. Rechargez le serveur web après le renouvellement si votre configuration ne le fait pas automatiquement. Certbot prend en charge des deploy hooks qui ne s'exécutent que lorsqu'un certificat a réellement été renouvelé.
  6. Vérifiez la nouvelle date d'expiration dans le navigateur ou avec la commande openssl ci-dessus.

Cas où le renouvellement automatique ne fonctionne pas tout seul

  • Les certificats créés avec l'option --manual de Certbot ne se renouvellent pas automatiquement, sauf si vous les associez à un script d'authentification (hook).
  • Les certificats wildcard exigent une validation DNS : il vous faut donc un plugin DNS pour votre fournisseur DNS si vous voulez qu'ils se renouvellent sans intervention.
  • Les serveurs migrés, reconstruits ou clonés perdent souvent le timer ou l'entrée cron, même si les fichiers de certificat ont suivi.

Un calendrier de renouvellement qui résiste à la réduction des durées

Let's Encrypt a annoncé qu'il passerait son profil « classic » par défaut à des certificats de 64 jours le 10 février 2027, puis de 45 jours le 16 février 2028. Sa recommandation : les clients qui n'utilisent pas ACME Renewal Information (ARI) ne doivent pas renouveler selon un calendrier codé en dur, et un renouvellement à intervalle fixe de 60 jours ne suffira bientôt plus. La commande renew de Certbot décide en fonction de la durée de vie restante, ce qui est le modèle le plus sûr. Gardez Certbot à jour et évitez de l'encapsuler dans votre propre script à intervalle fixe. Les détails figurent dans l'annonce de Let's Encrypt sur les durées de vie.

Renouveler un certificat SSL payant

Les certificats payants ne se renouvellent pas d'eux-mêmes, sauf si votre fournisseur ou votre hébergeur a activé le renouvellement automatique. Les noms des boutons et des menus varient selon les fournisseurs : considérez ceci comme l'ordre général des opérations et consultez la documentation de votre fournisseur pour les écrans exacts.

  1. Lancez le renouvellement dans votre compte fournisseur. Repérez le certificat proche de son échéance et choisissez renouveler, réémettre ou recommander.
  2. Générez un CSR. Beaucoup de serveurs et de panneaux de contrôle savent créer une demande de signature de certificat. Certains fournisseurs permettent de réutiliser l'ancien CSR, mais générer une nouvelle paire de clés est en général une meilleure habitude.
  3. Terminez la validation du domaine. On vous demandera généralement de prouver votre contrôle par un e-mail envoyé à une adresse approuvée, un enregistrement DNS ou un fichier placé sur votre site. Les certificats de validation d'organisation et étendue peuvent aussi exiger des vérifications de documents : commencez-les plus tôt.
  4. Téléchargez les fichiers émis. Vous recevez généralement le certificat ainsi qu'un lot intermédiaire (chaîne).
  5. Installez-les sur votre serveur, votre hébergeur ou votre CDN, puis redémarrez ou rechargez le serveur web.
  6. Testez. Chargez le site dans une nouvelle fenêtre de navigateur, vérifiez la date d'expiration et assurez-vous qu'aucun avertissement de « chaîne incomplète » ou de contenu mixte n'apparaît.
  7. Mettez à jour vos rappels et désactivez le renouvellement automatique de l'ancien certificat si vous avez changé de fournisseur.

Si vous comparez des fournisseurs ou vous demandez combien un renouvellement devrait coûter, consultez le guide du coût d'un certificat SSL. L'enregistrement du domaine se renouvelle aussi séparément, comme l'explique le guide du coût de renouvellement d'un domaine.

Les durées de validité des certificats raccourcissent (vérifié en novembre 2026)

Le CA/Browser Forum a approuvé le vote SC-081v3 en avril 2025. Il réduit par paliers la durée de vie maximale des certificats TLS publics :

Émis à partir duValidité maximale
Avant le 15 mars 2026398 jours
15 mars 2026200 jours
15 mars 2027100 jours
15 mars 202947 jours

Concrètement, tout ce que vous renouvelez à la main demande désormais une intervention environ deux fois par an, puis environ quatre fois par an à partir de mars 2027, et environ huit fois par an d'ici 2029. Les périodes de réutilisation de la validation de domaine raccourcissent aussi : vous ne pouvez donc pas compter sur une ancienne validation pour sauter une étape. Ces limites s'appliquent aux certificats publics ; les autorités privées ou internes suivent leurs propres règles.

Si vous renouvelez encore manuellement, les options réalistes sont de passer à une autorité ou un hébergeur qui prend en charge l'émission automatisée (ACME), ou de placer une couche gérée, comme votre hébergeur ou un CDN, devant le site.

Checklist de renouvellement SSL

Copiez-la dans le outil de suivi de votre équipe :

`` [ ] Lister chaque certificat : domaine, émetteur, date d'expiration, lieu d'installation [ ] Noter qui est responsable de chaque renouvellement (un nom, pas un alias d'équipe) [ ] Programmer des rappels à 30 et 14 jours avant l'expiration [ ] Let's Encrypt : confirmer que le timer Certbot ou la tâche cron existe [ ] Let's Encrypt : lancer certbot renew --dry-run et corriger les erreurs [ ] Wildcards : confirmer qu'un plugin ou un hook DNS est configuré [ ] Certificats payants : confirmer que l'e-mail de validation ou l'accès DNS fonctionne toujours [ ] Générer un nouveau CSR et une nouvelle clé si le fournisseur l'exige ou le recommande [ ] Installer le certificat ET la chaîne intermédiaire [ ] Recharger le serveur web, le CDN ou le répartiteur de charge [ ] Tester le site dans un navigateur neuf et vérifier la nouvelle date d'expiration [ ] Tester les sous-domaines, www et non-www, ainsi que les points de terminaison d'API [ ] Supprimer les certificats expirés et retirer les anciens rappels [ ] Prévoir 200 jours dès maintenant, 100 jours à partir du 15 mars 2027 ``

Erreurs courantes de renouvellement

  • Renouveler la mauvaise couche. Si un CDN ou un répartiteur de charge termine le TLS, renouveler le certificat d'origine ne changera rien pour les visiteurs.
  • Oublier la chaîne. Installer uniquement le certificat feuille peut fonctionner dans un navigateur et échouer dans un autre ou dans un client d'API.
  • Ne pas recharger le serveur. Les nouveaux fichiers peuvent rester sur le disque pendant que l'ancien certificat continue d'être servi.
  • E-mail de validation envoyé à un ancien employé. Assurez-vous que l'adresse de contact est surveillée.
  • Se fier à un seul rappel. Les alertes de calendrier sont ignorées. L'automatisation associée à une supervision externe de l'expiration est plus robuste.

Si vous hésitez encore sur l'hébergement

Un hébergement qui inclut le renouvellement SSL supprime toute cette corvée. Le forfait gratuit de We.Inc vous permet de publier jusqu'à trois sites à partir de modèles prêts à l'emploi, comme Nora Kessler Studio ou Greenfield Renewables ; le créateur IA qui rédige un site à partir d'une description démarre avec le forfait Starter à $20 par mois. Vous pouvez vous inscrire ici.

FAQ

Comment renouveler un certificat Let's Encrypt ?

Lancez sudo certbot renew. La commande ne renouvelle que les certificats proches de l'expiration, vous pouvez donc la programmer sans risque. La plupart des installations de Certbot incluent déjà une tâche planifiée, et sudo certbot renew --dry-run la teste sans enregistrer de certificats.

Quelle est la durée de validité d'un certificat SSL en 2026 ?

Le plafond était de 398 jours jusqu'au 15 mars 2026 ; il est de 200 jours aujourd'hui. Il passera à 100 jours le 15 mars 2027 et à 47 jours le 15 mars 2029. Certaines autorités émettent des certificats légèrement en dessous du plafond.

Que se passe-t-il si mon certificat SSL expire ?

Les navigateurs affichent un avertissement de sécurité en plein écran, et les clients d'API stricts peuvent échouer. Installer un certificat renouvelé règle le problème pour les visiteurs, sans aucune action de leur part.

Renouveler, est-ce la même chose qu'acheter un nouveau certificat ?

En général, un renouvellement est un certificat nouvellement émis pour le même domaine, avec une nouvelle validation. Les tarifs et les remises varient selon les fournisseurs : vérifiez le vôtre.

Pourquoi le renouvellement automatique Let's Encrypt ne fonctionne-t-il plus ?

Cherchez un timer ou une entrée cron manquant, un port 80 bloqué, des changements DNS, des certificats en mode manuel sans hook, ou un wildcard sans plugin DNS. certbot renew --dry-run affichera l'erreur précise.

Commencer gratuitement · Sans carte bancaire

Umair Ali Sadaqat

Fondateur de We.Inc

Umair est le fondateur de We.Inc. Il écrit sur la création de sites web avec l’IA, les agences et la gestion d’un studio web.

Prêt à créer quelque chose de grand ?

Rejoignez les 15,000+ entreprises qui utilisent We.Inc pour lancer, développer et automatiser, le tout depuis une seule plateforme.

Commencer gratuitement

Sans carte bancaire · Parler à l'équipe commerciale

Voir aussi: Blog

Produit

Pour qui

Fonctionnalités

Ressources

Entreprise

Plan du site