Let's Encrypt n'envoie plus d'emails d'expiration : comment rester prévenu

Pendant des années, Let's Encrypt envoyait un email quand un certificat approchait de son expiration sans avoir été renouvelé. Pour beaucoup d'administrateurs, c'était le seul signal qu'un renouvellement automatique était en panne. Ce service a pris fin le 4 juin 2025.

Ce qui a changé

Let's Encrypt avait annoncé en janvier 2025 la fin des emails de rappel, puis les a arrêtés le 4 juin 2025. Aujourd'hui :

• Aucun email n'est envoyé avant l'expiration, même si un certificat n'a pas été renouvelé.
• L'adresse email fournie à Certbot ou à un autre client ACME n'est plus utilisée pour ces rappels.
• Rien ne change pour l'émission ni le renouvellement des certificats.

Pourquoi Let's Encrypt a arrêté

L'organisation a avancé plusieurs raisons :

• Le renouvellement automatique est la norme : la grande majorité des clients ACME renouvellent sans intervention humaine.
• Le respect de la vie privée : ne plus conserver des millions d'adresses email associées à des certificats.
• Le coût : l'envoi de ces emails représentait des dizaines de milliers de dollars par an pour un organisme à but non lucratif.

Let's Encrypt recommande désormais d'utiliser un service de surveillance tiers.

Pourquoi c'est un vrai risque

Le renouvellement automatique fonctionne… jusqu'au jour où il ne fonctionne plus. Les causes les plus fréquentes :

• le port 80 a été fermé par une règle de pare-feu ;
• le DNS pointe désormais vers un autre serveur ou un CDN ;
• le serveur a été migré sans reprendre Certbot ou sa tâche planifiée ;
• le certificat est renouvelé sur le disque, mais le serveur web n'a jamais été rechargé ;
• un plugin DNS n'a plus les bons identifiants d'API.

Dans tous ces cas, personne n'est prévenu. Le premier signal, ce sont les visiteurs qui tombent sur NET::ERR_CERT_DATE_INVALID, ou une API qui refuse les connexions.

Et la marge va se réduire : les certificats Let's Encrypt passeront à 64 jours en 2027, puis à 45 jours en 2028.

Comment remplacer ces emails

Option 1 : surveiller depuis l'extérieur (recommandé)

Un service de surveillance vérifie le certificat réellement servi par votre site, comme le ferait un visiteur. C'est la seule méthode qui détecte aussi les serveurs jamais rechargés et les load balancers oubliés.

Avec SSL Expiration Reminder :

1. Créez un compte gratuit : jusqu'à 3 domaines, sans carte bancaire.
2. Ajoutez vos domaines, un par un ou par import CSV.
3. Choisissez quand être prévenu. Pour Let's Encrypt, un rappel à 15 jours est idéal : à ce stade, un certificat sain aurait déjà dû être renouvelé. Si l'alerte arrive, c'est que l'automatisation a un problème.

Les plans payants ajoutent Slack, Telegram et le webhook, et permettent de prévenir plusieurs personnes. C'est utile quand l'adresse donnée à Certbot était celle d'un ancien collègue.

Option 2 : un script maison

Pour un ou deux serveurs, une tâche cron peut suffire :

#!/bin/sh
# Alerte si le certificat servi expire dans moins de 15 jours (1 296 000 secondes)
DOMAIN=exemple.fr
echo | openssl s_client -connect "$DOMAIN:443" -servername "$DOMAIN" 2>/dev/null \
  | openssl x509 -noout -checkend 1296000 \
  || echo "Le certificat de $DOMAIN expire bientôt" | mail -s "SSL $DOMAIN" vous@exemple.fr

Limites : il faut un serveur de messagerie fonctionnel, le script tourne souvent sur la machine même qu'il surveille, et personne ne surveille le script lui-même.

Option 3 : vérifier régulièrement Certbot

sudo certbot renew --dry-run
sudo certbot certificates

C'est utile pour diagnostiquer, mais ça reste une démarche manuelle. Et ça ne dit pas quel certificat est réellement servi aux visiteurs.

En résumé

• Let's Encrypt ne prévient plus avant l'expiration, depuis le 4 juin 2025.
• Le renouvellement automatique peut échouer sans bruit.
• Une surveillance externe, avec des alertes envoyées à plusieurs personnes, remplace avantageusement les anciens emails.

Vous pouvez dès maintenant vérifier un domaine avec le vérificateur SSL gratuit.