Automatisation des certificats SSL

Certificats SSL automatisés : comparer les offres

Nous proposons six certificats SSL automatisés répartis en deux groupes : quatre offres RapidSSL et GeoTrust compatibles à la fois avec AutoInstall SSL® et ACME, et deux certificats Sectigo et DigiCert destinés à votre propre client ACME.

Offres compatibles avec les deux méthodes d’automatisation

Utilisez la méthode qui convient le mieux à votre serveur. Chaque offre est un abonnement annuel avec des réémissions gratuites et illimitées, de sorte que des durées de vie de certificat plus courtes se traduisent par plus de réémissions automatiques, et non par plus d’achats.

Certificats pour votre propre client d’automatisation

Ces certificats fonctionnent uniquement avec ACME, vous les connecterez donc à un client ACME tel que Certbot, acme.sh ou win-acme.

Quelle méthode d’automatisation SSL convient à votre serveur ?

Il existe quatre façons d’automatiser les certificats SSL : AutoInstall SSL® pour votre propre serveur Apache, NGINX ou IIS ; ACME pour tout environnement doté d’un client ACME ; une plateforme de gestion du cycle de vie des certificats pour les grands parcs de serveurs ; et le SSL intégré de votre hébergeur sur un hébergement mutualisé. Le bon outil d’automatisation des certificats SSL dépend de l’endroit où votre site fonctionne et du niveau d’accès que vous avez au serveur. Trouvez votre configuration dans le tableau ci-dessous.

Sur un hébergement mutualisé ? La plupart des hébergeurs mutualisés incluent un certificat gratuit. Sur cPanel, il s’appelle AutoSSL, ce qui est différent d’AutoInstall SSL®. Vous pouvez toujours installer un certificat payant sur un hébergement mutualisé, mais vous devrez le renouveler et le réinstaller manuellement : au moins 4 fois par an à partir de 2027, et 8 fois ou plus d’ici 2029. Si votre hébergeur vous donne un accès SSH, un client ACME tel qu’acme.sh peut fonctionner ; consultez notre guide ACME pour cPanel et vérifiez d’abord auprès de votre hébergeur. Les créateurs de sites web tels que Wix, Shopify et Squarespace utilisent généralement uniquement leurs propres certificats.

Vous ne savez pas quelle méthode vous convient ? Contactez notre support disponible 24h/24 et 7j/7 avec le type de votre serveur et nous vous orienterons vers la bonne solution.

Pourquoi l’automatisation SSL est désormais indispensable

En avril 2025, le CA/Browser Forum a adopté le scrutin SC-081v3, qui réduit en trois étapes la durée de vie maximale des certificats SSL/TLS publics. Apple, Google, Microsoft et Mozilla ont tous voté en faveur de cette mesure. La première étape est en vigueur depuis le 15 mars 2026, et chaque étape suivante rend l’automatisation des certificats SSL de plus en plus difficile à éviter.

Le calendrier de validité SSL (2026–2029)

Sur la base de la fenêtre de renouvellement actuelle de 28 jours d’AutoInstall SSL®. Les clients ACME compatibles avec ARI renouvellent au moment suggéré par l’autorité de certification, le chiffre exact varie donc.

À quelle fréquence un certificat SSL doit-il être renouvelé ?

Selon le scrutin SC-081v3, au moins deux fois par an actuellement (maximum de 200 jours depuis le 15 mars 2026), 4 fois par an à partir du 15 mars 2027 (100 jours) et 8 fois par an à partir du 15 mars 2029 (47 jours). Le renouvellement automatisé se produit un peu plus souvent, car il démarre tôt : environ 2, 5 et 20 fois par an avec la fenêtre de renouvellement actuelle de 28 jours.

Le volume de renouvellements augmente rapidement. Avec la fenêtre actuelle de 28 jours, 50 certificats ayant une durée de vie de 47 jours représentent environ 1 000 renouvellements par an, un chiffre qu’il n’est pas réaliste de suivre manuellement.

Un renouvellement SSL manqué est aussi très visible. Les navigateurs affichent un avertissement de sécurité en pleine page, les visiteurs partent, et les paiements en ligne cessent de fonctionner jusqu’à ce que le certificat soit remplacé.

La réutilisation de la validation du domaine diminue également. À partir du 15 mars 2029, une vérification de domaine réussie ne pourra être réutilisée que pendant 10 jours, de sorte que presque chaque renouvellement nécessitera une nouvelle validation. L’automatisation gère également cette étape pour vous.

199 ou 200 jours ?

199 et 200 jours sont tous deux corrects. Les règles du CA/B Forum indiquent qu’un certificat ne doit pas dépasser 200 jours et ne devrait pas dépasser 199. DigiCert, l’autorité de certification derrière RapidSSL et GeoTrust, émet des certificats de 199 jours pour rester dans la limite.

Comment fonctionne la gestion automatisée des certificats SSL

Une fois configurée, la gestion automatisée des certificats SSL répète le même cycle pour chaque certificat :

Vous configurez cela une seule fois par serveur. Votre clé privée reste sur votre propre serveur, et tant que votre abonnement est actif, chaque réémission ultérieure, y compris les réémissions supplémentaires engendrées par des durées de vie plus courtes, s’exécute automatiquement via le même cycle. C’est cela, le renouvellement automatisé de certificats SSL en pratique : pas de rappels, pas de copie de fichiers.

Le renouvellement n’est pas la même chose que le déploiement

Un certificat renouvelé ne protège vos visiteurs qu’une fois installé et le serveur redémarré. Une bonne automatisation du renouvellement des certificats SSL couvre les trois étapes : renouvellement, installation et redémarrage. AutoInstall SSL® s’occupe des trois. Avec ACME, cela dépend du client : les modules Apache et NGINX de Certbot gèrent l’installation, tandis que d’autres clients peuvent nécessiter un hook de déploiement.

Automatisation sans intervention pour Apache, NGINX et IIS

AutoInstall SSL® est l’agent d’automatisation de DigiCert pour les serveurs web. C’est l’option la plus simple si vous gérez votre propre serveur et que vous ne souhaitez rien configurer après la mise en place.

• Serveurs pris en charge : IIS sur Windows Server 2016, 2019, 2022 et 2025 ; Apache et NGINX sur Ubuntu, Debian, CentOS et les autres principales distributions Linux.
• Ce dont vous avez besoin : un accès root ou administrateur au serveur.
• Validation : par fichier ou par DNS.
• Renouvellements : 28 jours avant l’expiration, avec une vérification quotidienne et une alerte par e-mail en cas d’échec.

Cela fonctionne avec toutes les offres RapidSSL et GeoTrust ci-dessus. Cela ne fonctionne pas sur l’hébergement mutualisé, sur les créateurs de sites web tels que Wix ou Squarespace, ni sur les comptes cPanel ou Plesk gérés sans accès root, car l’agent doit installer un logiciel sur le serveur lui-même.

Apportez votre propre client : Certbot, Caddy, cert-manager et plus encore

ACME, l’Automatic Certificate Management Environment, est une norme ouverte largement utilisée pour l’automatisation des certificats, définie dans la RFC 8555 (2019). Chaque certificat de cette page la prend en charge : les quatre offres RapidSSL et GeoTrust, Sectigo ACME CaaS et DigiCert ACME. Avec un certificat payant compatible ACME, vous recevez des identifiants d’automatisation uniques après l’achat. Votre client se connecte à votre compte via l’External Account Binding (EAB) : un identifiant de clé et une clé secrète (une clé HMAC) que vous saisissez une seule fois. Ensuite, le client demande les certificats, effectue la validation et les renouvelle de façon autonome, et votre clé privée ne quitte jamais votre serveur.

ACME fonctionne avec Certbot, acme.sh, win-acme, cert-manager et Caddy, ainsi qu’avec de nombreux pare-feux et appareils NAS. Les clients les plus récents prennent également en charge les informations de renouvellement ACME (ARI, RFC 9773), qui permettent à une autorité de certification compatible d’indiquer à votre client quand renouveler.

Vous configurez un client pour la première fois ? Nous proposons 13 guides pas à pas pour les clients ACME, d’Apache et NGINX à Kubernetes, en passant par les serveurs de messagerie et le Bureau à distance, y compris win-acme pour IIS, FortiGate, pfSense et Synology NAS.

Certificats SSL automatisés gratuits ou payants

Let’s Encrypt est gratuit et entièrement automatisable. Une fois le renouvellement automatisé, une courte durée de vie n’est pas un problème en soi. Les véritables différences portent sur les types de validation, la garantie, le support et les alertes.

Les lignes de durée de vie indiquent ce qu’émet DigiCert ; la ligne de vérification de domaine indique le maximum fixé par le CA/B Forum, et une autorité de certification peut appliquer des périodes plus courtes.

Les deux options chiffrent le trafic exactement de la même manière, le choix dépend donc de ce qui entoure le certificat. Les certificats DV prouvent uniquement le contrôle du domaine. Les certificats OV et EV vérifient également l’organisation derrière le site, ce que certaines entreprises, partenaires et équipes d’achat exigent.

Si votre site n’a besoin que d’un chiffrement basique et que vous êtes à l’aise avec Certbot, Let’s Encrypt est un bon choix. Si vous souhaitez une garantie, une validation OV ou EV, des alertes d’échec ou un support 24h/24 et 7j/7, optez pour un certificat automatisé payant. Pour en savoir plus, lisez Let’s Encrypt contre SSL Dragon.