Certificats SSL : la durée maximale passe à 200, 100 puis 47 jours, le calendrier des agences

Les dates exactes fixées par le CA/Browser Forum, ce qu'elles changent pour les certificats payants, et combien de fois par an chaque site client devra recevoir un nouveau certificat.

Pour une agence, ce qui change n'est pas le nombre de jours. C'est le nombre de fois où quelqu'un doit intervenir. Un client qui achète un certificat « d'un an » paie toujours une fois par an, mais le certificat installé sur le serveur doit être remplacé deux fois ou plus dans l'année. Chaque étape manuelle (générer la demande, valider le domaine, déposer le certificat dans un panneau d'hébergement, un CDN ou un répartiteur de charge) se répète à ce rythme. Ce guide donne les dates, puis un calendrier à appliquer à chaque client.

Le calendrier officiel

Les règles viennent des Baseline Requirements du CA/Browser Forum, le texte que doit suivre toute autorité de certification reconnue par les navigateurs. Le ballot SC-081v3 a été voté du 4 au 11 avril 2025 : 25 émetteurs de certificats ont voté pour, aucun contre, cinq se sont abstenus ; Apple, Google, Microsoft et Mozilla ont tous voté pour. La section 6.3.2 des Baseline Requirements prévoit désormais :

Source : CA/Browser Forum, Baseline Requirements, sections 6.3.2 et 4.2.1.

Trois détails comptent pour planifier :

• C'est la date d'émission qui compte. Un certificat émis le 14 mars 2027 peut encore durer jusqu'à 200 jours. Celui émis le lendemain est limité à 100. Rien n'est révoqué aux dates de bascule.
• La durée compte les deux bornes. Les Baseline Requirements la définissent du notBefore au notAfter inclus, et comptent un jour comme 86 400 secondes. C'est pourquoi la plupart des autorités restent un jour sous le plafond : DigiCert, par exemple, délivre des certificats de 199 jours au plus depuis le 24 février 2026, trois semaines avant l'échéance.
• Les informations sur l'entreprise durent plus longtemps que la validation du domaine. Pour les certificats OV et EV, les informations d'identité de l'entreprise peuvent être réutilisées pendant 398 jours à partir du 15 mars 2026. Le contrôle du domaine, lui, devra être prouvé au moins tous les 10 jours à partir de 2029.

Ces règles concernent les certificats publics des sites web. Les certificats émis par une autorité privée, interne à une entreprise, ne relèvent pas des Baseline Requirements.

Ce que ça change selon le type de certificat

Les certificats payants (DV, OV, EV)

C'est là que les agences le sentent en premier. Les certificats émis autour du 15 mars 2026 ont été les premiers à 200 jours et, comme l'a souligné Sectigo sur son blog, ils sont arrivés en fin de validité début octobre 2026. Beaucoup d'équipes avaient encore un rappel annuel dans leur agenda pour ces sites.

Les autorités commerciales vendent toujours des formules d'un an ou plus. La documentation de DigiCert décrit le fonctionnement : la formule couvre la période payée, mais chaque certificat émis dans ce cadre dure 199 jours au plus, et on le réémet sans surcoût à l'approche de l'expiration. DigiCert ajoute le point qui provoque les pannes : réémettre ne remplace pas le certificat sur le serveur. Quelqu'un doit encore l'installer.

Let's Encrypt et les autres certificats ACME

Les certificats Let's Encrypt durent 90 jours, bien en dessous de tous les plafonds. Let's Encrypt a annoncé sa propre réduction : 64 jours à partir du 10 février 2027, puis 45 jours à partir du 16 février 2028. Notre guide sur les certificats Let's Encrypt de 64 jours détaille ce calendrier et les réglages qui cassent. Pour les sites déjà renouvelés automatiquement en ACME, les plafonds du CA/B Forum ne changent rien.

Les certificats installés par un hébergeur ou un CDN

Quand un hébergeur ou un CDN émet et renouvelle le certificat à votre place, c'est à lui de suivre ce calendrier. Ce qui reste de votre côté : vérifier que le certificat reçu par les visiteurs est toujours valable, surtout après un changement de DNS ou d'hébergement.

Un calendrier de renouvellement pour les agences

La fréquence de remplacement dépend de la durée de vie et de la marge gardée avant l'expiration. Sectigo recommande de renouveler les certificats de 200 jours environ tous les 180 jours. Pour les renouvellements automatiques, Let's Encrypt recommande de renouveler aux deux tiers environ de la durée de vie. Le tableau ci-dessous s'appuie sur ces deux repères ; ajustez la marge à votre propre fonctionnement.

Quelques dates repères, pour un certificat émis à la durée maximale :

Un certificat renouvelé juste avant une date de bascule garde la durée la plus longue, ce qui peut laisser quelques mois de plus pour finir d'automatiser. Cela ne fait que repousser le travail.

Que faire maintenant, client par client

1. 1Listez tous les certificats que vous ne renouvelez pas automatiquement. Certificats payants, certificats déposés à la main dans un panneau, un CDN, un répartiteur de charge ou un serveur de messagerie. Ce sont eux que le calendrier concerne.
2. 2Remplacez les rappels annuels. Tout rappel fondé sur « renouveler une fois par an » est déjà faux pour les certificats émis depuis mars 2026. Calez les rappels sur la vraie date notAfter de chaque certificat, lue sur le site en ligne.
3. 3Vérifiez ce que comprend la formule du client. Pour les formules annuelles ou pluriannuelles, notez qui réémet, qui installe, et comment se fait la validation du domaine. À partir de 2029, elle devra être refaite au moins tous les 10 jours : une validation manuelle par e-mail ou DNS à chaque fois ne tiendra pas.
4. 4Passez à ACME quand c'est possible. Les autorités commerciales le proposent aussi : DigiCert documente l'émission et le renouvellement ACME dans CertCentral, Sectigo dans Sectigo Certificate Manager.
5. 5Automatisez les copies. Si un certificat est émis sur une machine puis copié ailleurs, scriptez la copie et le rechargement. C'est rarement le renouvellement qui échoue, c'est l'étape d'après. Notre guide sur les échecs de renouvellement Let's Encrypt liste les causes habituelles.
6. 6Surveillez aussi le domaine. Impossible de renouveler un certificat pour un domaine qui a expiré : voir ce qui se passe quand un nom de domaine expire.

Pour lire les dates du certificat réellement servi par un site :

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -issuer -dates

Comment surveiller

Avec des durées aussi courtes, le rappel annuel disparaît et le risque se déplace vers les étapes que personne ne surveille : le certificat réémis jamais installé, la copie sur le CDN restée sur l'ancien certificat, le site renouvelé à la main. Le signal utile, c'est la date d'expiration du certificat servi par chaque site, lue de l'extérieur, avec des alertes assez proches de l'échéance pour coller aux nouvelles durées, envoyées à quelqu'un qui travaille encore sur le projet.

C'est ce que fait Lapsentry pour les agences : il se connecte à chaque site, lit le certificat réellement servi, et suit son expiration et son émetteur à côté de la date d'expiration du domaine. Les alertes partent par e-mail, Slack, Teams ou SMS avant que l'un ou l'autre n'expire.

Essayer gratuitement pendant 14 jours : sans carte bancaire.

Sources

• CA/Browser Forum, Ballot SC-081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, vote du 4 au 11 avril 2025 (en anglais).
• CA/Browser Forum, Baseline Requirements, sections 4.2.1, 6.3.2 et définition de « Validity Period » (version 2.3.1, en anglais).
• DigiCert, Moving to 199-day validity for public TLS certificates et Understand Multi-year Plans (en anglais).
• Sectigo, 200-day certificates are starting to expire et Shorter TLS series (en anglais).
• DigiCert, Automate certificate issuance using ACME ; Sectigo, fiche Automation (en anglais).
• Let's Encrypt, 64-Day Certificate Lifetimes Coming Feb 2027, 7 octobre 2026, et Decreasing Certificate Lifetimes to 45 Days, 2 décembre 2025 (en anglais).

FAQ

Quelle est la durée maximale d'un certificat SSL aujourd'hui ?

200 jours pour un certificat public émis entre le 15 mars 2026 et le 14 mars 2027. La plupart des autorités délivrent un peu moins, souvent 199 jours, pour rester sous le plafond.

Quand les certificats SSL passent-ils à 47 jours ?

Pour les certificats émis à partir du 15 mars 2029. Avant cela, le plafond est de 100 jours pour les certificats émis à partir du 15 mars 2027, et de 200 jours pour ceux émis à partir du 15 mars 2026.

Mes certificats actuels sont-ils concernés ?

Non. Les limites s'appliquent à la date d'émission. Un certificat émis avant une date de bascule reste valable jusqu'à sa propre échéance ; c'est son remplaçant qui aura la durée plus courte.

Peut-on encore acheter un certificat SSL pour plusieurs années ?

On peut toujours acheter une formule qui couvre une ou plusieurs années. Le certificat lui-même est limité à la durée maximale : il faut le réémettre et le réinstaller pendant la formule, au moins deux fois par an aujourd'hui.

La règle des 47 jours s'applique-t-elle à Let's Encrypt ?

Let's Encrypt est déjà sous les plafonds, avec des certificats de 90 jours. Il a annoncé ses propres étapes : 64 jours à partir du 10 février 2027 et 45 jours à partir du 16 février 2028.

Les certificats internes sont-ils concernés ?

Non. Les Baseline Requirements couvrent les certificats publics des serveurs accessibles sur internet. Les certificats émis par une autorité privée, interne, suivent les règles de cette autorité.

Qu'est-ce qui change pour la validation du domaine ?

La durée pendant laquelle une validation de domaine peut être réutilisée baisse avec les durées de vie : 200 jours à partir de mars 2026, 100 jours à partir de mars 2027 et 10 jours à partir de mars 2029. En 2029, le contrôle du domaine sera en pratique refait à presque chaque renouvellement.

Autres guides

• Let's Encrypt passe aux certificats de 64 jours : ce que les agences doivent vérifier
• Pourquoi les renouvellements Let's Encrypt échouent
• Que se passe-t-il quand un nom de domaine expire ?
• Sous-domaines orphelins : ce que c'est et comment les trouver