Let's Encrypt : des certificats de 64 jours par défaut à partir du 10 février 2027

Let's Encrypt, l'autorité de certification gratuite qui délivre une grande partie des certificats TLS du web, va réduire la durée de vie par défaut de ses certificats. Elle passera de 90 à 64 jours le 10 février 2027. Annoncé le 7 octobre sur le blog de l'organisme, le changement entre en test le 14 octobre 2026. À partir de cette date, l'environnement de test (« staging ») délivre des certificats de 64 jours.

Le calendrier

• 14 octobre 2026 : certificats de 64 jours dans l'environnement de test.
• 10 février 2027 : tout certificat émis ou renouvelé avec le profil par défaut (« classic ») est valable 64 jours, sauf si l'abonné choisit une durée plus courte. Il peut opter pour 45 jours (profil « tlsserver », disponible depuis le 13 mai 2026) ou pour 6 jours (profil « shortlived »).
• 11 mai 2027 : expiration prévue du dernier certificat de 90 jours. Let's Encrypt précise qu'il ne révoquera pas les certificats encore valides.
• 16 février 2028 : passage à 45 jours pour le profil par défaut, selon le calendrier publié en décembre 2025.

En parallèle, la durée pendant laquelle une validation de domaine peut être réutilisée sans nouveau contrôle est raccourcie. Elle passe de 30 à 10 jours, puis à 7 heures en 2028. Pour la plupart des utilisateurs, cela ne demande aucune modification, sauf si le client ACME (le logiciel qui obtient et renouvelle les certificats) compte sur cette réutilisation.

Pourquoi ce changement

Let's Encrypt explique vouloir limiter les risques de compromission de clé et d'émission erronée. Un certificat de courte durée expose moins longtemps une clé volée. La mesure suit les exigences de base du CA/Browser Forum, l'instance qui réunit autorités de certification et éditeurs de navigateurs. Toutes les autorités de certification publiques feront des changements similaires, selon Let's Encrypt, cité par SecurityWeek. Les limites de débit, les points d'accès ACME et les chaînes de certification ne changent pas.

Que faire ?

• Vérifiez la prise en charge d'ARI (ACME Renewal Info) par votre client ACME. Avec ARI, c'est Let's Encrypt qui indique au client quand renouveler. C'est la configuration recommandée.
• Traquez les délais codés en dur dans les tâches cron, les scripts et les procédures. Let's Encrypt cite les valeurs 83, 80 ou 60 jours. Visez un renouvellement aux deux tiers environ de la durée de vie, soit vers 43 jours pour un certificat de 64 jours.
• Testez sur l'environnement de test dès le 14 octobre, avant la bascule en production.
• Automatisez le déploiement : rechargement du serveur web, copie vers les répartiteurs de charge ou les équipements qui reçoivent leurs certificats à la main.
• Mettez en place une alerte en cas d'échec de renouvellement, pour ne pas découvrir le problème à l'expiration.