Certificat SSL expiré : que faire ?

Un cadenas barré, un message « Votre connexion n'est pas privée » qui occupe tout l'écran, un lien partagé qui fait fuir plutôt que rassurer : un certificat SSL expiré transforme un site qui fonctionne en site à éviter aux yeux du visiteur.

Le problème technique est rarement difficile une fois identifié : un certificat se renouvelle en quelques minutes. Il vient d'un oubli. Personne n'a suivi la date d'échéance, ou le renouvellement automatique attendu ne s'est pas déclenché. Et la situation évolue : la durée de vie des certificats raccourcit selon un calendrier officiel qui court jusqu'en mars 2029, et Let's Encrypt a supprimé son service d'e-mails de rappel. Cet article donne le diagnostic, la procédure de renouvellement, ces échéances vérifiées à la source, un calcul illustratif et un plan d'action pour ne plus jamais découvrir une expiration par un visiteur.

Renouveler puis sécuriser le suivi

1. Confirmer le diagnostic. Un outil de vérification SSL en ligne, ou l'inspection du certificat dans le navigateur, indique la date d'expiration exacte et distingue un certificat expiré d'un autre problème : nom de domaine incorrect, chaîne de certification incomplète, date erronée sur l'appareil.

2. Identifier le mode de délivrance. Un certificat Let's Encrypt géré par l'hébergeur est valable 90 jours et se renouvelle de façon automatique : la documentation de Let's Encrypt recommande de renouveler tous les 60 jours. Une expiration signale donc que le renouvellement automatique a échoué, pas qu'il faille repartir de zéro. Un certificat payant acheté séparément se renouvelle auprès de l'autorité de certification.

3. Renouveler puis vérifier la propagation. Après renouvellement, un test depuis un navigateur au cache vidé, ou un service de vérification externe, confirme que le nouveau certificat est bien servi partout, y compris derrière un CDN ou un cache technique.

4. Mettre en place une alerte avant l'échéance. Un contrôle de disponibilité qui inclut la date d'expiration prévient plusieurs jours à l'avance. Ce point est devenu central : Let's Encrypt a mis fin à son service d'e-mails d'expiration, et recommande de surveiller les certificats avec un service tiers (page Monitoring Service Options de sa documentation).

Le calendrier officiel du raccourcissement des certificats

La durée de vie maximale d'un certificat public diminue par paliers. Le ballot SC-081v3 du CA/Browser Forum, voté en avril 2025 par 25 émetteurs de certificats (aucun vote contre, 5 abstentions) et par les quatre éditeurs de navigateurs membres (Apple, Google, Microsoft, Mozilla), prévoit de faire passer le maximum de 398 jours à 47 jours entre mars 2026 et mars 2029.

Ce que change Let's Encrypt

Let's Encrypt, qui fournit les certificats gratuits d'un très grand nombre d'hébergeurs, suit le même mouvement. Son annonce du 2 décembre 2025 précise que les certificats de 90 jours passeront à 45 jours d'ici 2028. Les dates indiquent le moment où le changement s'applique aux nouveaux certificats : un site verra la durée plus courte à son prochain renouvellement après la date.

L'annonce ajoute deux consignes utiles. D'abord, ne plus renouveler à intervalle fixe de 60 jours : l'intervalle doit suivre la durée du certificat, par exemple aux deux tiers de sa vie. Ensuite, le renouvellement manuel est déconseillé, parce qu'il faudra le refaire plus fréquemment. Let's Encrypt recommande aussi une surveillance qui alerte si un certificat n'est pas renouvelé au moment prévu.

La marge de sécurité fond avec la durée

Si le renouvellement part aux deux tiers de la vie du certificat, la marge entre le renouvellement et l'expiration correspond au dernier tiers. Le tableau montre comment elle diminue. Le calcul des deux dernières colonnes est un calcul illustratif à partir des durées annoncées, pas une donnée officielle.

Une marge de 30 jours absorbe un week-end, un congé ou un premier échec de renouvellement repéré avec retard. Une marge de 15 jours reste confortable si quelqu'un regarde les alertes, mais elle ne pardonne plus une semaine d'absence combinée à un échec silencieux. La documentation de Let's Encrypt recommande d'ailleurs de renouveler un certificat de six jours tous les trois jours : à cette échelle, seule l'automatisation supervisée est viable.

Calcul illustratif : le coût du renouvellement manuel

Prenons un site fictif qui gère 12 certificats (domaine principal, sous-domaines, boutique, espace client) et qui les renouvelle à la main en 15 minutes chacun, vérification comprise. Le tableau compte combien de renouvellements l'année exige si chaque certificat est utilisé jusqu'à sa limite de durée. Ces valeurs sont des hypothèses de calcul, pas des mesures.

Entre 200 et 47 jours, la charge est multipliée par plus de quatre. Elle ne disparaît qu'avec une automatisation que l'on surveille. Le raisonnement vaut même avec un hébergeur qui gère tout : sa chaîne de renouvellement doit être contrôlée de l'extérieur, parce que c'est la seule vue qu'a le visiteur.

Ce que cherchent les internautes

Relevé DataForSEO sur la France, de septembre 2025 à août 2026. La recherche qui concerne cet article est très faible : les internautes cherchent plutôt le message d'erreur ou le sujet général que l'expression « certificat expiré ». La colonne « Moyenne mensuelle » reprend le volume moyen indiqué par DataForSEO.

Non mesurée dans la base : « err_cert_date_invalid ». L'expression « votre connexion n'est pas privée » est la plus proche du moment où le problème frappe : 1 000 recherches en août 2026 contre 1 900 en septembre 2025. Les recherches de fond sur le certificat ont reculé de plus de moitié sur un an, sans qu'une cause soit établie par ces données.

Plan d'action en quatre temps

Aujourd'hui. Lister les certificats de chaque nom de domaine et sous-domaine, avec la date d'expiration et le mode de délivrance (automatique ou manuel).

Cette semaine. Ajouter la date d'expiration au contrôle de disponibilité, avec deux alertes : l'une à un tiers de la durée restante, l'autre une semaine avant l'échéance.

Avant le 10 février 2027. Vérifier que le client de renouvellement ne repose pas sur un intervalle fixe de 60 jours, ni sur une action manuelle.

Chaque trimestre. Tester le renouvellement de bout en bout et noter le résultat dans le carnet de maintenance du site.