Certificats SSL : la durée de validité passe à 47 jours
200 jours en 2026, 100 jours en 2027, 47 jours en 2029. Le calendrier, ce qui change pour Let's Encrypt et les certificats payants, et comment s'y préparer.
Lecture : 3 min Mis à jour le 26 octobre 2026
La durée de vie des certificats SSL/TLS publics est en train de fondre. En avril 2025, le CA/Browser Forum a adopté le vote SC-081 : la durée maximale va baisser par étapes, jusqu'à 47 jours en 2029. La première étape est déjà en vigueur depuis le 15 mars 2026.
Le calendrier
| Certificats émis à partir du | Durée maximale | Réutilisation de la validation du domaine |
|---|---|---|
| Avant le 15 mars 2026 | 398 jours | 398 jours |
| 15 mars 2026 | 200 jours | 200 jours |
| 15 mars 2027 | 100 jours | 100 jours |
| 15 mars 2029 | 47 jours | 10 jours |
Deux points importants :
- La règle s'applique aux certificats émis après chaque date. Un certificat d'un an acheté en février 2026 reste valable jusqu'à son terme.
- La réutilisation de la validation baisse aussi. En 2029, la preuve de contrôle du domaine ne sera valable que 10 jours : il faudra presque la refaire à chaque renouvellement.
Qui est concerné ?
Tous les certificats publics, gratuits comme payants : DV, OV et EV, quelle que soit l'autorité. Les navigateurs (Chrome, Safari, Firefox, Edge) refuseront les certificats qui dépassent ces durées.
Les certificats émis par une autorité interne à l'entreprise (PKI privée) ne sont pas concernés.
Et Let's Encrypt ?
Les certificats Let's Encrypt durent déjà 90 jours, donc sous les plafonds de 2026. Mais Let's Encrypt a annoncé sa propre trajectoire pour son profil par défaut :
- 10 février 2027 : 64 jours.
- 16 février 2028 : 45 jours.
Let's Encrypt recommande aux clients ACME de gérer ARI (ACME Renewal Information) : c'est l'autorité elle-même qui indique quand renouveler. Pour les clients sans ARI, la consigne est de renouveler aux deux tiers de la durée de vie, plutôt qu'à date fixe.
Pourquoi ce changement ?
- Limiter l'impact d'une clé compromise ou d'un certificat émis par erreur : il disparaît au bout de quelques semaines, au lieu d'un an.
- La révocation fonctionne mal en pratique : les navigateurs vérifient peu ou pas les listes de révocation. Une durée courte est plus fiable.
- Forcer l'automatisation : une infrastructure capable de renouveler tous les mois saura aussi remplacer tous ses certificats en urgence, en cas de faille ou de changement d'autorité.
Ce que ça change concrètement
Avec 47 jours de validité, un certificat renouvelé « à la main » demandera une intervention environ huit fois par an et par domaine. Pour quelqu'un qui gère trente sites, cela fait plus de 200 renouvellements par an. L'approche manuelle ne tient plus.
Les points de vigilance :
- Automatiser chaque renouvellement : Certbot, acme.sh, cert-manager pour Kubernetes, ou les fonctions ACME de votre hébergeur ou de votre CDN.
- Faire l'inventaire des certificats installés à la main : appliances, load balancers, NAS, anciens serveurs, services tiers où un certificat a été déposé.
- Prévoir les certificats OV/EV payants : demandez à votre fournisseur s'il propose un renouvellement via ACME. Sinon, vous repasserez par une commande tous les quelques mois.
- Surveiller depuis l'extérieur. Plus les renouvellements sont fréquents, plus il y a d'occasions d'échec silencieux. Une tâche planifiée cassée, un port fermé, un DNS modifié : avec 47 jours de validité, il reste peu de temps pour s'en apercevoir.
Comment SSL Expiration Reminder vous aide
- Chaque certificat est vérifié automatiquement, chaque jour.
- Vous choisissez quand être prévenu : 30, 15, 7, 5, 3 ou 1 jour(s) avant l'échéance, par email, Slack, Telegram ou webhook.
- Une alerte part aussi dès qu'un certificat devient invalide.
- Les agences peuvent prévenir chaque client pour ses propres domaines uniquement.
Le plan gratuit couvre 3 domaines, sans carte bancaire. Vous pouvez aussi commencer par vérifier un site avec le vérificateur SSL.