Où les certificats SSL sont-ils réellement achetés ? Ce que nos données révèlent sur la confiance mondiale

Le protocole HTTPS est désormais une attente par défaut sur le web. Mais si le cryptage est devenu la référence en matière de sécurité en ligne, il n’en va pas de même pour le paiement des certificats SSL.

Chez SSL Dragon, nous savons exactement où les certificats SSL sont achetés, et nous voulons vous donner un aperçu unique de la distribution géographique du cryptage payant.

Dans nos données, un pays représente à lui seul près de 38 % de tous les achats SSL payants. Les dix premiers pays en contrôlent plus de 67 %. HTTPS est peut-être universel, mais la confiance payée est très concentrée.

Examinons de plus près ce que montre réellement la carte mondiale du SSL payant.

---

Table des matières

1. Ce que montrent nos chiffres (et ce qu’ils ne montrent pas)
2. La principale conclusion : Les groupes de confiance rémunérés sont difficiles à cerner
3. Clients et services : Deux histoires très différentes
4. Les pays qui ont l’air « faux » sont les plus intéressants
5. Qu’est-ce que cela signifie pour les équipes qui gèrent des certificats ?

---

Note méthodologique

• Source des données: données opérationnelles anonymes de SSL Dragon
• Champ d’application: certificats SSL payants uniquement
• Paramètres: clients actifs et services actifs
• Aperçu des données: Janvier 2026
• Exclut: les certificats émis par les plateformes (CDN auto-SSL, offres groupées d’hébergement, Let’s Encrypt, etc.)

---

Ce que montrent nos chiffres (et ce qu’ils ne montrent pas)

Ces chiffres ne concernent pas l’utilisation de SSL. Le protocole HTTPS est déjà omniprésent. La plupart des sites web utilisent des certificats émis automatiquement par les fournisseurs d’hébergement, les CDN et les plateformes en nuage. Cette activité n’apparaît pas dans nos données. Elles révèlent plutôt quelque chose de beaucoup plus spécifique :

• Où les organisations achètent-elles encore des certificats ?
• Lorsqu’ils gèrent encore eux-mêmes la validation
• Le traitement des certificats est considéré comme une tâche opérationnelle et non comme une caractéristique de la plate-forme.

En d’autres termes, il ne s’agit pas de chiffres sur l’adoption. Il s’agit du comportement d’achat.

Les données reflètent deux dimensions différentes :

• Clients actifs – combien d’organisations achètent des certificats
• Services actifs – nombre de certificats activement déployés

Ensemble, ils montrent à la fois la demande et l’échelle opérationnelle.

Les chiffres élevés signifient :

• Infrastructure personnalisée
• Serveurs autogérés ou équilibreurs de charge
• Exigences en matière de conformité interne ou d’audit
• Nécessité d’un contrôle plus strict de l’émission et du déploiement

Des chiffres bas signifient :

• Utilisation intensive de l’hébergement géré
• Certificats intégrés aux plateformes
• Confiance déléguée à une infrastructure tierce

Un classement élevé indique des marchés où les entreprises gèrent encore leur propre infrastructure et gèrent activement la confiance. Un mauvais classement reflète généralement des environnements où cette responsabilité a déjà été transférée à des plateformes et à des services gérés.

Le pays lié à un achat ne correspond pas toujours à l’endroit où le certificat est déployé. Les agences, les hébergeurs et les équipes informatiques centralisées gèrent souvent les certificats en tant que service externalisé pour une infrastructure dont ils ne sont pas directement propriétaires.

Cela ne brouille pas les pistes. Elle l’affine et montre où se situent réellement la propriété et le contrôle opérationnel des certificats.

---

La principale conclusion : Les groupes de confiance rémunérés sont difficiles à cerner

Lorsque l’on prend du recul et que l’on examine la répartition de la demande de services SSL payants, il est impossible d’ignorer un fait : cette demande n’est pas répartie uniformément. Elle se concentre de manière agressive.

Les dix premiers pays représentent à eux seuls environ 67 % de tous les clients payants actifs.

Cela signifie que les deux tiers des commandes SSL mondiales proviennent d’une très petite partie du monde. Fait encore plus frappant, les États-Unis représentent à eux seuls près de 38 % de toutes les organisations payantes. Un seul pays est à l’origine de plus d’activités de confiance rémunérées que le reste du monde réuni. Ce n’est pas à cela que ressemble un marché « mondial ».

Si les certificats SSL étaient achetés uniquement sur la base d’une nécessité technique, cette répartition serait plus plate. Les sites web et les entreprises existent partout. Le protocole HTTPS est pratiquement obligatoire, mais la confiance payée ne l’est pas. Elle découle de quelque chose de beaucoup plus étroit : qui est encore propriétaire de son infrastructure et qui l’a cédée à des plates-formes.

Les marchés qui dominent l’adoption commerciale du SSL sont généralement ceux où les entreprises continuent d’exploiter leurs propres serveurs, de gérer leurs propres équilibreurs de charge et d’appliquer des processus de conformité internes.

En revanche, dans la plupart des régions, la gestion des certificats a été confiée à des plateformes. Les fournisseurs d’hébergement, les CDN, les produits SaaS et les services en nuage mettent automatiquement fin au SSL. C’est pourquoi la courbe de la demande est abrupte. Après les quelques premiers pays, l’activité SSL payante diminue fortement.

Les États-Unis et le Royaume-Uni dominent parce qu’ils hébergent des volumes massifs d’infrastructures autogérées, de systèmes d’entreprise et d’environnements axés sur la conformité.

Vient ensuite un deuxième groupe de pays, généralement des économies avancées dotées de solides secteurs SaaS, financier et technologique. Ensuite, la courbe s’effondre en une longue queue où la possession de certificats payants devient rare.

Où se concentrent les clients payants

Lorsque vous visualisez les pays les plus importants en termes de clients actifs payants, trois choses deviennent immédiatement évidentes :

• Un marché contrôle tout le reste. Les États-Unis définissent l’échelle de l’ensemble des données.
• Un petit noyau européen suit. Le Royaume-Uni, l’Allemagne, la France et une poignée d’autres pays forment un deuxième groupe de propriétaires opérationnels.
• Après le niveau supérieur, l’utilisation du SSL payant diminue fortement. La plupart des pays contribuent à des volumes marginaux en comparaison.

Cette chute brutale est la signature d’un marché opérationnel et non d’un marché de consommation.

Concrètement, cela signifie que

• Les modèles d’achat de certificats ne correspondent pas à la population.
• Il n’est pas lié à l’utilisation de l’internet.
• Il n’y a pas de correspondance avec le nombre de sites web.

C’est pourquoi l’idée que le SSL est une « marchandise mondiale » est trompeuse. La couche de cryptage est peut-être universelle, mais la propriété de la confiance ne l’est pas. C’est ce que disent en réalité vos chiffres.

---

Clients et services : Deux histoires très différentes

Jusqu’à présent, nous avons examiné où les certificats sont achetés. Mais l’achat d’un certificat n’est que le début de l’histoire.

Ce qui compte vraiment, c’est ce qui se passe après : combien de certificats sont déployés, entretenus, renouvelés et maintenus en vie dans la production.

C’est là qu’intervient le deuxième objectif : Clients actifs et services actifs.

Ils mesurent des choses différentes :

• Les clients actifs nous indiquent le nombre d’organisations qui achètent des certificats.
• Les services actifs révèlent le nombre de certificats en vigueur.

L’un indique la demande. L’autre – la charge opérationnelle. Et ces deux éléments n’évoluent pas toujours au même rythme.

Dans certains pays, de nombreuses organisations achètent un ou deux certificats chacune. Dans d’autres, un petit nombre d’entreprises gèrent des dizaines, des centaines, voire des milliers de certificats actifs.

D’un point de vue opérationnel, ces marchés se comportent de manière totalement différente. L’un concerne le volume des acheteurs. L’autre concerne l’échelle de l’infrastructure.

C’est là que la gestion des certificats devient un problème de système.

Un nombre élevé de clients actifs et un faible nombre de services actifs signifient généralement :

• De nombreux petits acheteurs
• Des environnements plus simples
• Complexité limitée de l’infrastructure

Un nombre faible de clients actifs et un nombre élevé de services actifs signifient généralement :

• Moins d’organisations
• Automatisation lourde
• Infrastructure centralisée
• Pression massive de renouvellement

C’est dans ce deuxième groupe que les opérations de certification deviennent fragiles :

• Les échecs de renouvellement se multiplient
• Erreurs de déploiement en cascade
• Le suivi devient essentiel
• Les petites erreurs ont un impact considérable.

En ce qui concerne les services actifs, il ne s’agit plus de cartographier l’endroit où les certificats sont achetés, mais l’endroit où l’infrastructure de confiance est exploitée à grande échelle.

Où les opérations de certification se développent-elles ?

Ce graphique montre les pays les plus importants pour Active Services. En d’autres termes, c’est là que se trouvent les plus grandes charges de travail liées aux certificats.

Il ne s’agit pas d’un reflet du tableau des clients. Certains pays qui se classent en tête du classement des acheteurs reculent ici.

D’autres grimpent en flèche parce qu’un plus petit nombre d’organisations produisent beaucoup plus de certificats.

Cette différence est importante parce qu’elle modifie l’endroit où le risque d’automatisation de SSL s’accumule et où les pannes deviennent systémiques au lieu d’être isolées. C’est le cœur opérationnel de l’écosystème SSL.

• Certains marchés achètent largement des certificats, mais les gèrent avec parcimonie.
• D’autres achètent moins de certificats mais les gèrent à grande échelle.
• Les services actifs révèlent la densité de l’infrastructure et non la taille du marché.

C’est là que l’automatisation cesse d’être pratique et devient essentielle.

Cette évolution est accélérée par le raccourcissement des périodes de validité des certificats. Le CA/Browser Forum a fixé un calendrier précis : 200 jours à partir du 15 mars 2026, 100 jours à partir du 15 mars 2027 et 47 jours à partir du 15 mars 2029.

Les cycles de renouvellement se resserrant, la gestion des certificats est de plus en plus souvent assurée par l’automatisation basée sur l’ACME, où la validation, l’émission et le renouvellement des domaines sont effectués automatiquement, en particulier dans les environnements gérant un grand nombre de certificats.

---

Les pays qui ont l’air « faux » sont les plus intéressants

À première vue, certains pays sont bien placés dans le classement. Les États-Unis, le Royaume-Uni, l’Allemagne et la France sont de grandes économies dotées d’une infrastructure et d’un environnement d’entreprise considérables. Ce n’est pas une surprise.

Mais quelques noms apparaissent alors, qui ne semblent pas à leur place : Kazakhstan, Moldavie, Seychelles et Ukraine.

Sur le papier, ce ne sont pas des marchés où l’on s’attendrait à ce que l’activité des certificats soit élevée, surtout pas du côté des services actifs. Et c’est précisément pour cela qu’ils sont importants. Ils révèlent comment les opérations de certification s’organisent réellement lorsqu’elles passent des transactions à l’infrastructure.

Prenez le Kazakhstan. Il présente un très petit nombre de clients actifs, mais un nombre extrêmement élevé de services actifs. Ce ratio est le signe d’une agrégation. Une poignée d’organisations exploitent des certificats à grande échelle pour :

• Plateformes d’hébergement
• Fournisseurs de services
• Pôles régionaux d’infrastructure
• Gestion de la sécurité ou des opérations informatiques

Voilà à quoi ressemble la propriété centralisée des certificats. Il n’y a pas des milliers d’acheteurs, mais quelques opérateurs supportant des charges de travail considérables.

La Moldavie présente la même structure de manière encore plus claire. Très peu de clients, un volume de services très élevé. Les certificats sont gérés comme une couche d’infrastructure et non comme des achats individuels. Une organisation peut représenter des dizaines ou des centaines de systèmes en aval.

Les Seychelles semblent encore plus étranges à première vue. Le nombre de services actifs est extrêmement élevé, mais il n’y a pratiquement pas de clients actifs. Mais ce schéma apparaît lorsque les certificats sont enregistrés par l’intermédiaire d’entités juridiques ou de facturation centralisées, alors que l’infrastructure elle-même est mondiale. C’est ce que l’on constate :

• Agrégation de revendeurs
• Fournisseurs d’hébergement internationaux
• Structures d’entreprise optimisées en fonction de la fiscalité ou de la réglementation
• Propriété centralisée des certificats pour les plateformes distribuées

L’Ukraine présente une variante différente du même schéma. La densité de services est plus élevée que le nombre de clients, ce qui suggère qu’un plus petit nombre d’opérateurs techniques gèrent des infrastructures importantes et lourdes en termes de certificats. Cette situation est fréquente dans les environnements présentant les caractéristiques suivantes

• Des écosystèmes d’hébergement solides
• Gestion externalisée de l’infrastructure
• Fournisseurs régionaux de SaaS et de plateformes
• Des opérations centralisées et rentables

Ces pays révèlent que le volume de certificats ne provient plus des acheteurs, mais des opérateurs qui gèrent la confiance à grande échelle.

---

Qu’est-ce que cela signifie pour les équipes qui gèrent des certificats ?

Voici 5 points à retenir de l’intérieur de la machine :

1. Votre véritable risque SSL est défini par la structure : La zone de danger n’est pas le nombre de certificats que vous possédez, mais leur degré de centralisation. Si un petit nombre de systèmes ou d’équipes contrôlent une grande partie de vos certificats, chaque défaillance a un impact multiplié. C’est là que les pannes deviennent systémiques et non plus locales.
2. Les opérations de certification révèlent des points de défaillance uniques et cachés : Des pays comme le Kazakhstan ou la Moldavie ne se distinguent pas par la taille de leur marché, mais par l’effondrement du contrôle au profit d’un petit nombre d’opérateurs. La même chose se produit au sein des entreprises. Si une équipe, une plateforme ou un pipeline d’automatisation détient la plupart des certificats, vous êtes confronté à un risque de concentration.
3. Acheter des certificats est facile. Les gérer en toute sécurité est la véritable charge de travail : Les graphiques montrent que le volume d’achat et la pression opérationnelle ne sont pas la même chose.
   Une équipe avec 50 certificats peut être moins complexe qu’une équipe avec 5 certificats si ces 5 certificats sont placés sur des répartiteurs de charge, des passerelles et une infrastructure partagée.
4. L’automatisation sans visibilité est un handicap à l’échelle : Lorsque les services actifs augmentent, le renouvellement cesse d’être un problème de calendrier. Si vous ne pouvez pas déterminer en quelques secondes quels systèmes ont effectivement rechargé le nouveau certificat, vous êtes dans l’impasse.
5. La propriété des certificats migre toujours vers le haut : Les données montrent un schéma à sens unique : des entreprises aux plateformes et aux opérateurs d’infrastructure. Une fois que la confiance est centralisée, elle ne se décentralise presque plus. Le seul choix qui reste est de savoir si vous contrôlez cette couche ou si vous dépendez de quelqu’un qui la contrôle. Le seul choix qui reste est de savoir si vous contrôlez cette couche ou si vous dépendez de quelqu’un qui la contrôle.

La demande de SSL payant reflète en fin de compte qui possède et exploite encore la couche de confiance. Dans certains environnements, cette responsabilité reste interne ; dans d’autres, elle a déjà été transférée aux plateformes et aux fournisseurs d’infrastructure. Comprendre où se situe votre organisation sur cette ligne est ce qui détermine le degré de contrôle, de visibilité et de résilience que vous avez réellement sur votre sécurité.

Curieux de savoir à quoi ressemble votre couche de confiance dans la pratique ? Utilisez notre vérificateur SSL gratuit pour inspecter n’importe quel domaine et voir quels certificats sont utilisés en production.