Le jour où mon site a planté à cause d’un certificat SSL expiré, j’ai compris que j’avais tout faux. C’était un vendredi soir, évidemment. Les visiteurs tombaient sur cette page d’avertissement rouge flippante, et moi je cherchais frénétiquement comment renouveler ce truc.
Cinq ans plus tard, je gère une dizaine de sites et leurs certificats. J’ai appris deux-trois trucs en route.
Le grand chamboulement qui arrive
Alors là, accrochez-vous. Les certificats SSL vont bientôt avoir une durée de vie de 47 jours. Quarante-sept jours ! Aujourd’hui on est à 90 jours pour ceux qui utilisent Let’s Encrypt (la majorité), et ça va encore descendre.
Pourquoi ce délire ? Simple : plus c’est court, plus c’est sécurisé. Un certificat compromis fait moins de dégâts s’il expire dans un mois que dans un an. Logique.
Le calendrier prévu :
- Septembre 2025 : on passe à 90 jours max pour tous les certificats
- Mars 2027 : 47 jours
- 2028 : Let’s Encrypt veut descendre à 45 jours
Franchement, ça va être le bordel pour ceux qui gèrent ça manuellement.
SSL quantique : la prochaine révolution ?
Un hébergeur français vient de sortir des certificats « résistants au quantique ». L’idée c’est d’anticiper le jour où les ordinateurs quantiques pourront casser nos chiffrements actuels.
Perso, je trouve ça un peu prématuré. On n’a même pas d’ordinateur quantique fonctionnel qui peut vraiment menacer le SSL actuel. Mais bon, certains préfèrent prendre de l’avance.
C’est quoi la différence concrètement ?
Les algos de chiffrement changent. Au lieu du RSA classique, on utilise des trucs aux noms barbares comme CRYSTALS-Kyber ou FALCON. L’idée c’est que même avec un super ordinateur quantique, impossible de craquer.
Le souci ? C’est plus lourd. Les certificats sont plus gros, les échanges prennent plus de temps. Pour l’instant c’est négligeable, mais à grande échelle…
Les types de certificats (et lequel choisir)
| Type | Prix | Validation | Pour qui ? |
|---|---|---|---|
| DV (Domain Validation) | Gratuit – 50€/an | Automatique | Blogs, sites persos |
| OV (Organization Validation) | 150-300€/an | Vérification entreprise | PME, sites pro |
| EV (Extended Validation) | 300-1000€/an | Audit complet | Banques, gros e-commerce |
| Wildcard | 100-500€/an | Variable | Multi sous-domaines |
Mon conseil ? Pour 95% des sites, un certificat DV gratuit de Let’s Encrypt fait parfaitement le job. Les EV avec la barre verte dans le navigateur, c’est has been depuis que les navigateurs ont arrêté de l’afficher.
Comment automatiser tout ça
Avec les durées qui raccourcissent, l’automatisation devient obligatoire. Voici ce que j’utilise :
Pour un serveur classique
Certbot reste la référence. Une ligne de commande et c’est réglé :
- Installation en 2 minutes
- Renouvellement automatique via cron
- Compatible avec Apache, Nginx, etc.
Le truc c’est de bien configurer le cron pour qu’il vérifie tous les jours. Pas toutes les semaines comme avant.
Pour les hébergements mutualisés
La plupart proposent maintenant le SSL en un clic. cPanel a son AutoSSL, Plesk a son extension Let’s Encrypt. Activez et oubliez.
Certains hébergeurs facturent encore le SSL. En 2024. Fuyez.
Les erreurs que tout le monde fait
J’ai vu (et fait) pas mal de boulettes avec les certificats SSL.
La plus classique : oublier les sous-domaines. Vous installez un certificat pour example.com, mais www.example.com reste en HTTP. Résultat : certains visiteurs ont l’alerte de sécurité, d’autres non. C’est le bazar.
Autre piège : le contenu mixte. Votre site est en HTTPS mais vous chargez des images ou des scripts en HTTP. Les navigateurs bloquent et votre site a l’air cassé. Vérifiez TOUT votre contenu.
Un truc qu’on voit aussi sur des gros sites (j’ai vu ça récemment chez une société de jeux populaire) : certificat expiré sur un sous-domaine critique. Le site principal marche, mais l’API ou le CDN est down. Les utilisateurs ne comprennent pas pourquoi ça bugue.
D’ailleurs en parlant de sites qui prennent la sécurité au sérieux, j’ai remarqué que Casino Night avait implémenté une config SSL plutôt solide. Toujours intéressant de voir comment certaines plateformes gèrent ça par ici quand on compare avec d’autres acteurs du web.
HSTS : le truc que personne n’active
HTTP Strict Transport Security. Un header qui dit au navigateur « ce site est TOUJOURS en HTTPS, refuse toute connexion HTTP ». Ultra important pour la sécurité, quasi personne ne l’active.
Pourquoi ? Parce que si vous vous plantez, les visiteurs ne peuvent plus accéder au site. Même pas moyen de bypasser l’erreur. C’est radical.
Mon approche :
- Commencer avec une durée courte (1 heure)
- Augmenter progressivement (1 jour, 1 semaine, 1 mois)
- Viser 1 an minimum une fois sûr
- Activer includeSubDomains seulement après
C’est chiant mais nécessaire.
Le monitoring, cet oublié
Vous savez combien de sites ont un certificat qui expire sans que personne ne s’en rende compte ? Trop.
Mes outils de monitoring préférés :
- Uptime Robot : gratuit, envoie un mail avant expiration
- SSL Labs : pour checker la config complète
- Un script bash maison qui vérifie tous mes domaines
Le script c’est 10 lignes, ça tourne tous les matins, ça m’évite les mauvaises surprises.
Les métriques à surveiller
Au-delà de la date d’expiration, vérifiez :
- La chaîne de certificats complète
- Les protocoles TLS activés (virez TLS 1.0 et 1.1)
- Les cipher suites (certains sont obsolètes)
- Le score SSL Labs (visez au moins un A)
Tout ça bouge régulièrement. Ce qui était sécurisé il y a 2 ans ne l’est plus forcément aujourd’hui.
FAQ
Est-ce que je peux utiliser le même certificat sur plusieurs serveurs ?
Techniquement oui, légalement ça dépend de votre licence. Les certificats gratuits comme Let’s Encrypt, aucun souci. Les payants, lisez les petites lignes. Certains limitent à un serveur, d’autres sont plus souples.
C’est quoi la différence entre SSL et TLS ?
TLS c’est la version moderne de SSL. On dit encore « certificat SSL » par habitude, mais techniquement on utilise TLS depuis 20 ans. SSL 3.0 est mort et enterré depuis 2014.
Je peux installer un certificat SSL moi-même ?
Si vous avez accès au serveur, oui. C’est pas sorcier avec les bons outils. Sur un hébergement mutualisé, ça dépend du provider. Certains vous laissent uploader votre certificat, d’autres imposent les leurs.
Un certificat gratuit est-il moins sécurisé qu’un payant ?
Non. Le chiffrement est exactement le même. La différence c’est la validation (qui vous êtes) et les garanties/assurances. Pour la sécurité pure, Let’s Encrypt fait le job aussi bien qu’un certificat à 500€.
Les certificats SSL, c’est un peu comme les mises à jour de sécurité. Chiant mais indispensable. Avec les changements qui arrivent, ça va devenir encore plus crucial d’automatiser tout ça. Ceux qui gèrent encore ça à la main vont morfler.
Le bon côté ? La sécurité du web s’améliore constamment. Le mauvais ? Faut suivre le rythme.
