D’ici 2029, les certificats TLS expireront en 47 jours. Un changement clé qui impose l’automatisation pour garantir la sécurité numérique.
Vers une révision drastique de la durée des certificats
398 jours aujourd’hui, 47 jours en 2029. C’est l’évolution radicale que connaîtront les certificats TLS/SSL au cours des quatre prochaines années. Mais qu’est-ce qu’un certificat TLS/SSL exactement ? Il s’agit d’un fichier numérique qui sert à établir une connexion sécurisée entre un site web et ses visiteurs. Il chiffre les données échangées, garantissant ainsi leur confidentialité, et permet aussi d’authentifier le site, en prouvant qu’il est bien ce qu’il prétend être.
Ces certificats sont délivrés pour une durée limitée : cette « durée de vie » est volontairement restreinte pour s’assurer que les informations qu’ils contiennent restent à jour et fiables. Une fois expirés, ils doivent être renouvelés sous peine de voir le site signalé comme non sécurisé.
Cette réforme a été actée par le CA/Browser Forum, un groupe international réunissant les autorités de certification (CA) et les éditeurs de navigateurs (comme Apple, Google, Mozilla ou Microsoft). Leur but est de fixer les standards de sécurité utilisés sur Internet.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Dès mars 2026, la durée maximale passera à 200 jours. Puis à 100 jours en 2027, pour culminer à 47 jours dès mars 2029. Parallèlement, la validité de la vérification du contrôle de domaine (ou DCV, Domain Control Validation) sera elle aussi raccourcie : elle passera de 398 à seulement 10 jours. Cette vérification consiste à prouver qu’on est bien le propriétaire d’un nom de domaine avant d’obtenir un certificat. Ce changement s’inscrit dans une tendance forte à automatiser complètement le cycle de vie des certificats.
Pourquoi réduire autant la durée de vie des certificats ?
Plusieurs enjeux techniques motivent ce changement. D’abord, les informations inscrites dans un certificat (comme les coordonnées ou l’identité de l’organisation) peuvent rapidement devenir obsolètes. Si un certificat expire, est compromis ou devient obsolète sans être remplacé à temps, cela peut compromettre la sécurité des échanges. Aujourd’hui, les mécanismes censés signaler un certificat révoqué — comme les CRL (listes de révocation) ou OCSP (protocoles de vérification en ligne) — sont peu fiables ou simplement ignorés par certains navigateurs.
En raccourcissant la durée de vie, on limite les risques liés à des certificats invalides. Un certificat récent a plus de chances de contenir des informations exactes et à jour. De plus, cette stratégie réduit les effets néfastes d’un certificat compromis, puisqu’il deviendra inutilisable rapidement.
L’automatisation : une nécessité, plus une option
Avec des durées de vie aussi courtes, renouveler manuellement chaque certificat deviendra vite ingérable, surtout pour les entreprises qui gèrent de nombreux sites ou sous-domaines. C’est pourquoi l’automatisation devient indispensable.
L’automatisation du cycle de vie des certificats signifie que leur création, validation, renouvellement et déploiement peuvent se faire sans intervention humaine. Des outils comme CertCentral, Trust Lifecycle Manager ou le protocole ACME (Automated Certificate Management Environment, utilisé notamment par Let’s Encrypt) permettent cette gestion simplifiée et sécurisée.
Même si cela peut paraître technique, l’avantage est clair : moins d’erreurs, moins de pannes dues à des certificats expirés, et une sécurité renforcée. Les entreprises qui ont déjà mis en place ce type d’outils constatent une réduction du travail manuel, une meilleure traçabilité et un respect accru des normes de sécurité.
Autre bonne nouvelle : ce changement n’impacte pas directement les coûts. La plupart des certificats sont vendus sous forme d’abonnements annuels. Que vous en renouveliez un tous les 398 jours ou tous les 47 jours n’a donc pas d’incidence sur le prix payé.
Un calendrier de transition progressif mais exigeant
Le CA/Browser Forum a établi un calendrier précis pour cette transition, afin de laisser aux entreprises le temps de s’adapter. Chaque étape implique une révision des pratiques actuelles, des outils utilisés et des processus internes.
Pour les grandes structures, cela suppose un audit complet de tous les certificats en usage, la mise en place d’une solution compatible ACME, et la formation des équipes. Pour les petites entreprises, il est possible de s’appuyer sur des solutions proposées par les hébergeurs ou les fournisseurs de certificats, souvent déjà automatisées.
Cette évolution des certificats TLS montre que la sécurité sur Internet ne repose pas seulement sur les technologies elles-mêmes, mais aussi sur leur gestion dans le temps. La confiance numérique devient dynamique : elle se construit et se renouvelle en continu, grâce à des processus fiables et automatisés.
Pour en savoir plus
La durée de vie des certificats TLS sera officiellement réduite à 47 jours
47 jours peuvent sembler un nombre arbitraire, mais c’est une cascade simple : 200 jours = 6 mois maximum (184 jours) + 1/2 mois de 30 jours (15 jours) + 1 jour de marge de manœuvre 100 jours = 3 mois maximum (92…
La durée de vie des certificats SSL/TLS réduite à 47 jours d’ici 2029
Le CA/Browser Forum a voté pour réduire considérablement la durée de vie des certificats SSL/TLS au cours des 4 prochaines années, avec une durée de vie finale de seulement 47 jours à compter de 2029. Le CA/Browser Forum est un groupe d’autorités de certification (CA) et de fournisseurs de logiciels,…
(Re)découvrez également:
Cryptographie quantique : révolution ou menace ?
Les technologies quantiques menacent la cryptographie classique, poussant à une réévaluation des stratégies de protection des données et à se préparer pour les solutions post-quantiques.
Plus de 3 millions de messageries non sécurisées dans le monde
Plus de 3,3 millions de messageries POP3 et IMAP non sécurisées sans chiffrement TLS exposent ainsi leurs utilisateurs à des cyberattaques.
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
