Certificats SSL plus courts : ce qui change en 2026 et 2027 et comment éviter un avertissement de sécurité sur votre site

Qu’est-ce qui a changé et quel est le calendrier ?

En avril 2025, le CA/Browser Forum a adopté le vote SC-081v3, proposé par Apple, avec le soutien de 25 autorités de certification (aucun vote contre et cinq abstentions) ainsi que d’Apple, Google, Microsoft et Mozilla (CA/Browser Forum, DigiCert). Ce vote fixe deux réductions : la durée maximale du certificat et la période pendant laquelle l’autorité peut réutiliser la vérification prouvant que vous contrôlez le domaine.

Source : Exigences de base du CA/Browser Forum, sections 4.2.1 et 6.3.2 (version 2.3.1, 4 octobre 2026).

Les changements s’appliquent aux nouveaux certificats. Un certificat émis avant chaque date reste valable jusqu’à son expiration.

200 ou 199 jours ?

La limite officielle est de 200 jours. Les exigences précisent qu’un certificat émis entre le 15 mars 2026 et le 15 mars 2027 ne doit pas dépasser 200 jours et recommandent de ne pas aller au-delà de 199 (CA/Browser Forum). Il en va de même ensuite : 100 et 99 jours, 47 et 46 jours.

C’est pourquoi plusieurs autorités émettent un jour de moins. DigiCert, par exemple, délivre des certificats de 199 jours au maximum et précise que sa limite est inférieure d’un jour à celle autorisée (DigiCert). Si vous voyez « 199 jours » sur le site de votre fournisseur, c’est la même règle appliquée avec une marge.

Qui est concerné ?

Toute personne qui a un site, une boutique en ligne ou un service en HTTPS. L’impact dépend de la façon dont le certificat est renouvelé aujourd’hui :

• Renouvellements manuels. Si quelqu’un télécharge le certificat, l’installe et met un rappel dans son agenda, cette tâche passe d’une fois par an à presque deux fois par an aujourd’hui, puis à environ quatre fois par an à partir de mars 2027.
• Achats pluriannuels. Vous pouvez toujours payer une couverture sur plusieurs années, mais le certificat installé doit être réémis chaque fois qu’il atteint la limite. DigiCert, par exemple, permet de réémettre sans frais supplémentaires pendant toute la durée de l’offre (DigiCert). Il faut que quelqu’un fasse cette réémission et l’installe.
• Certificats installés à la main sur des serveurs et des équipements. Serveurs de messagerie, interfaces d’administration, VPN, répartiteurs de charge, caméras, NAS ou applications internes exposées sur Internet. Ils échappent souvent au renouvellement automatique.
• Certificats à validation d’organisation (OV et EV). En plus de la durée, la période de réutilisation des informations sur l’organisation raccourcit aussi : elle passe de 825 à 398 jours à partir de mars 2026 (CA/Browser Forum).

Les certificats privés qu’une entreprise émet pour un usage interne ne sont pas concernés, car les navigateurs ne leur accordent pas de confiance publique. Les certificats d’origine Cloudflare non plus : ils chiffrent uniquement la liaison entre Cloudflare et votre serveur (Cloudflare).

Et Let’s Encrypt ?

Let’s Encrypt, l’autorité gratuite utilisée par de nombreux hébergeurs, émet des certificats de 90 jours et suit son propre calendrier pour descendre à 45 (Let’s Encrypt) :

• 10 février 2027 : le profil par défaut passe à 64 jours et la validation du domaine peut être réutilisée pendant 10 jours.
• 16 février 2028 : le profil par défaut passe à 45 jours et la réutilisation de la validation tombe à 7 heures.

Let’s Encrypt recommande de ne pas renouveler à la main, d’utiliser un client compatible ARI (un mécanisme par lequel l’autorité indique au client quand renouveler) et de configurer des alertes pour les certificats qui ne sont pas renouvelés à temps.

Que voit un visiteur si le certificat expire ?

Chrome affiche une page entière avec l’avertissement « Votre connexion n’est pas privée » et un code comme NET::ERR_CERT_DATE_INVALID, qui signale un problème de dates (Google).

La mention « Non sécurisé » dans la barre d’adresse apparaît quand le site n’utilise pas de connexion privée, c’est-à-dire quand il se charge sans HTTPS (Google).

Comment automatiser le renouvellement ?

1. Utilisez un certificat renouvelé automatiquement par votre hébergeur. De nombreux panneaux d’hébergement installent et renouvellent des certificats gratuits sans intervention. Vérifiez que c’est activé pour le domaine principal, pour la version avec « www » et pour chaque sous-domaine.
2. Si vous administrez le serveur, utilisez ACME. C’est le protocole standard pour demander et renouveler des certificats automatiquement (IETF, RFC 8555). Des clients comme Certbot ou acme.sh s’en chargent avec une tâche planifiée. Let’s Encrypt, DigiCert et d’autres autorités le prennent en charge (DigiCert).
3. Si votre domaine passe par Cloudflare, son certificat universel est émis, renouvelé et installé automatiquement sur toutes les offres, y compris la gratuite (Cloudflare). Le serveur d’origine a toujours besoin de son propre certificat.
4. Surveillez les dates d’expiration. Une alerte envoyée deux ou trois semaines à l’avance laisse le temps de corriger un renouvellement qui a échoué.

Liste de vérification

• Inventaire de tous les domaines et sous-domaines en HTTPS, y compris la messagerie, les interfaces d’administration et les services internes exposés.
• Pour chacun : qui émet le certificat, quand il expire et s’il se renouvelle tout seul.
• Renouvellement automatique activé chez l’hébergeur ou avec un client ACME.
• Certificats achetés pour plusieurs années : qui les réémet et à quelle date.
• Validation du domaine par DNS automatisée si vous utilisez des certificats wildcard (*.votredomaine.fr).
• Alertes d’expiration envoyées à une adresse que quelqu’un consulte.
• Un plan pour mars 2027, quand la limite passe à 100 jours.

Ce que nous proposons chez AiDo Creative

Dans nos offres d’hébergement et de maintenance de sites web, nous vérifions les certificats de vos domaines, automatisons le renouvellement partout où c’est possible et établissons un calendrier pour ceux qui doivent être installés à la main. Nous faisons de même pour les serveurs et les équipements dans le cadre du support informatique. Vous trouverez le détail sur la page Hébergement.

Questions fréquentes