Des certificats TLS toujours plus courts : 100 jours dès mars 2027, que préparer maintenant

Le cadenas dans la barre du navigateur dépend d'un certificat TLS qui a une date d'expiration. Pendant des années, il suffisait de le renouveler une fois par an, souvent à la main. Cette habitude prend fin : les règles du secteur réduisent pas à pas la durée maximale des certificats, et les premiers effets se voient dès cet automne.

Pour une PME, le risque n'est pas une attaque, mais un service qui cesse de fonctionner : un site qui affiche un avertissement de sécurité, une boîte e-mail qui ne se connecte plus, un formulaire de contact que les clients n'osent pas remplir. Voici les dates vérifiées et une liste de contrôles.

Les dates à connaître

En avril 2025, le CA/Browser Forum, l'organisme où autorités de certification et éditeurs de navigateurs fixent des règles communes, a adopté le ballot SC-081v3. Il prévoit cette réduction de la durée maximale des certificats TLS publics :

• jusqu'au 14 mars 2026 : 398 jours ;
• dès le 15 mars 2026 : 200 jours ;
• dès le 15 mars 2027 : 100 jours ;
• dès le 15 mars 2029 : 47 jours.

Les dates s'appliquent aux certificats émis à partir de ce jour : un certificat déjà émis reste valable jusqu'à son expiration. La période pendant laquelle une autorité peut réutiliser une validation de domaine déjà effectuée se réduit aussi ; dès 2029, elle sera de 10 jours. Certaines autorités appliquent des limites plus courtes d'un jour : DigiCert, par exemple, émet au plus 199 jours depuis le 24 février 2026.

Un certificat émis le 15 mars 2026 avec la durée maximale expire début octobre 2026. Qui a renouvelé à la main un certificat payant au printemps se trouve donc ces semaines-ci face au premier renouvellement semestriel.

Let's Encrypt : 64 jours dès le 10 février 2027

De nombreux sites utilisent les certificats gratuits de Let's Encrypt, valables 90 jours jusqu'ici. Le 7 octobre 2026, Let's Encrypt a confirmé que dès le 10 février 2027, il émettra par défaut des certificats de 64 jours ; cette durée est active dans l'environnement de test (staging) depuis le 14 octobre 2026. En 2028, on passera à 45 jours, selon le calendrier publié en décembre 2025. Le profil facultatif tlsserver émet déjà des certificats de 45 jours depuis mai 2026.

Let's Encrypt signale deux points pratiques. D'abord, si le programme qui renouvelle les certificats (le client ACME) prend en charge ARI (ACME Renewal Information), c'est l'autorité elle-même qui indique quand renouveler. Ensuite, qui a réglé le renouvellement à un nombre fixe de jours avant l'expiration, par exemple 60, 80 ou 83, doit passer à un renouvellement à environ deux tiers de la durée. Rappelons aussi que depuis le 4 juin 2025, Let's Encrypt n'envoie plus d'e-mails d'avertissement d'expiration : si personne ne vérifie, la première alerte peut venir d'un client.

Où se trouvent les certificats dans une PME

Le site web est le cas le plus visible, mais pas le seul. Un certificat TLS public peut aussi servir à :

• serveurs de messagerie (réception et envoi), webmail et calendriers partagés ;
• logiciels de gestion, CRM et portails clients accessibles depuis internet ;
• accès à distance, pare-feu, NAS et outils de partage de fichiers ;
• API utilisées par des applications, boutiques en ligne ou prestataires de paiement ;
• sous-domaines oubliés : anciennes pages d'atterrissage, environnements de test, campagnes passées.

La réduction concerne les certificats émis par des autorités publiques et reconnus par les navigateurs. Les certificats d'une PKI interne suivent les règles fixées par l'entreprise elle-même, mais ils expirent aussi et ont leur place dans le même inventaire.

Que vérifier maintenant

1. Inventaire. Lister les domaines et sous-domaines dotés d'un certificat, l'émetteur, la date d'expiration et les systèmes où il est installé.
2. Responsabilité. Pour chaque certificat, qui le renouvelle : l'hébergeur, l'agence, le fournisseur du logiciel ou un collaborateur. Demandez-le par écrit si ce n'est pas clair.
3. Automatisation complète. Le renouvellement doit être automatique jusqu'au bout : émission, installation sur le serveur et redémarrage ou rechargement du service. Un nouveau certificat resté dans un dossier ne sert à rien.
4. Intervalles. Vérifier que le renouvellement n'est pas lié à un nombre fixe de jours pensé pour 90 jours, et utiliser ARI si le client le prend en charge.
5. Certificats payants. Avec un abonnement pluriannuel, le certificat doit quand même être réémis et installé à chaque échéance. Demandez au fournisseur s'il propose le renouvellement automatique via ACME.
6. Surveillance indépendante. Un contrôle externe qui avertit à temps lorsqu'un certificat approche de l'expiration ou n'a pas été renouvelé, avec des destinataires qui lisent vraiment les alertes.
7. Tester avant 2027. Les utilisateurs de Let's Encrypt peuvent déjà essayer les certificats de 64 jours dans l'environnement de staging.

Pourquoi c'est aussi une question de sécurité

Une durée plus courte limite le temps pendant lequel un certificat compromis ou émis par erreur reste utilisable ; c'est la raison avancée par Let's Encrypt et le CA/Browser Forum. Il y a aussi un effet moins visible : lorsqu'un site affiche souvent des avertissements de certificat, clients et collaborateurs s'habituent à les ignorer, et il devient plus difficile de reconnaître un avertissement qui signale un vrai problème.

Pour qui collecte des données personnelles via des formulaires, des espaces clients ou la messagerie, la loi fédérale sur la protection des données (art. 8 nLPD) exige des mesures techniques et organisationnelles appropriées pour la sécurité des données. Une connexion chiffrée qui fonctionne sans interruption en fait partie. Un certificat expiré n'est pas en soi une cyberattaque, mais il vaut mieux traiter le renouvellement comme les autres tâches de sécurité, avec un responsable et un contrôle.

Mise à jour sur les failles PHP

Les deux vulnérabilités PHP CVE-2026-109618 et CVE-2026-109619, signalées par l'OFCS le 21 octobre 2026 et traitées dans notre article du 22 octobre, sont désormais activement exploitées : le 26 octobre 2026, l'agence américaine CISA les a ajoutées à son catalogue des vulnérabilités exploitées, comme l'indique son alerte mise à jour. Qui n'a pas encore installé PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou le correctif équivalent de son fournisseur, devrait le faire sans attendre, puis contrôler les systèmes à la recherche d'anomalies.

Questions fréquentes

Mon certificat actuel cessera-t-il de fonctionner le 15 mars 2027 ?

Non. Il reste valable jusqu'à son expiration. Dès cette date, seule la durée maximale des certificats émis ou renouvelés change.

J'utilise Let's Encrypt avec renouvellement automatique : dois-je faire quelque chose ?

En général non, selon Let's Encrypt. Il faut toutefois vérifier que le renouvellement n'est pas réglé sur un intervalle fixe, que le service est rechargé après le renouvellement et que quelqu'un reçoit une alerte en cas d'échec.

Mon site est géré par l'hébergeur : est-ce mon problème ?

Pour le site, souvent non. Mais la messagerie, le logiciel de gestion, le NAS ou l'accès à distance peuvent avoir des certificats gérés par d'autres fournisseurs, ou par personne. Il vaut la peine de demander à chacun comment se fait le renouvellement.

Faut-il acheter maintenant un certificat de 200 jours ?

Cela repousse le problème de quelques mois sans le résoudre. Avec 100 jours en 2027 et 47 en 2029, l'automatisation est la voie praticable.

Notre approche

ElaraTeq Sagl développe et exploite des sites et des applications pour les PME et les collectivités publiques au Tessin, avec un hébergement en Suisse et le renouvellement automatique des certificats. Nous pouvons dresser l'inventaire de vos certificats, mettre en place renouvellement et surveillance, et vérifier les systèmes gérés par des tiers. Pour la maintenance continue, il y a le service présenté dans l'article sur Orbit ; pour les sites WordPress, voyez aussi les contrôles d'octobre. Pour une vérification, vous pouvez nous contacter.

Sources

• CA/Browser Forum, Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, avril 2025
• DigiCert, Moving to 199-day validity for public TLS certificates
• Let's Encrypt, 64-Day Certificate Lifetimes Coming Feb 2027, 7 octobre 2026 ; Decreasing Certificate Lifetimes to 45 Days, 2 décembre 2025 ; Profiles ; Ending Support for Expiration Notification Emails, 22 janvier 2025
• Fedlex, Loi fédérale sur la protection des données (LPD), RS 235.1, art. 8
• OFCS, Plusieurs vulnérabilités critiques découvertes dans PHP : installez immédiatement les mises à jour de sécurité, 21 octobre 2026
• CISA, Critical Vulnerabilities in PHP Require Immediate Patching, mise à jour du 26 octobre 2026