Certificats SSL/TLS : une durée de vie divisée par 8 d’ici 2029

À partir de 2029, les certificats SSL/TLS ne seront valables que 47 jours, au lieu de 398 jours actuellement. Une évolution technique décidée par le CA/Browser Forum, portée notamment par Apple, qui vise à renforcer la sécurité du web… mais qui soulève aussi de nombreuses questions sur la charge opérationnelle pour les entreprises.

Qu’est-ce qu’un certificat SSL/TLS ?

Naviguer en toute sécurité sur un site web est presque devenu une habitude, et on le doit en grande partie aux certificats SSL/TLS. Ces fichiers numériques sont essentiels pour garantir que la connexion entre un internaute et un site est bien authentique et chiffrée. Concrètement, un certificat SSL (ou TLS, son successeur technique) remplit deux fonctions clés :

• Il authentifie l’identité du site web, en permettant au navigateur de vérifier que le site visité est bien celui qu’il prétend être, et non une imitation malveillante.
• Il chiffre les données échangées entre l’utilisateur et le serveur, pour empêcher toute interception ou modification en cours de route.

C’est ce certificat qui permet à l’URL d’un site de s’afficher avec le fameux https://, accompagné parfois du petit cadenas dans la barre d’adresse.

Jusqu’à présent, la durée de validité d’un certificat SSL/TLS était d’environ 13 mois (398 jours, pour être précis). Mais cette durée va baisser progressivement, jusqu’à atteindre 47 jours d’ici mars 2029. Cela signifie qu’un certificat devra être renouvelé près de huit fois plus souvent qu’aujourd’hui : un changement qui impactera directement la gestion technique des sites web.

Le changement acté : vers des certificats valables seulement 47 jours

Le CA/Browser Forum, organisme regroupant les principales autorités de certification (CA) et éditeurs de navigateurs web, a voté au printemps 2025 une réduction progressive de la durée de vie des certificats SSL/TLS, avec pour objectif de renforcer la sécurité du web. Ce changement, soutenu notamment par Apple, s’appliquera par étapes jusqu’en mars 2029, date à laquelle les certificats ne seront valables que 47 jours.

Un calendrier en trois grandes étapes :

• 15 mars 2026 : la durée de vie maximale passe de 398 jours à 200 jours,
• 15 mars 2027 : elle est réduite à 100 jours,
• 15 mars 2029 : la durée maximale atteint 47 jours, soit un renouvellement toutes les 6 à 7 semaines.

En parallèle, la validité du contrôle de domaine (appelée Domain Control Validation, ou DCV) sera elle aussi raccourcie : elle tombera à 10 jours d’ici 2029. En clair, il faudra prouver bien plus fréquemment que l’on contrôle un domaine avant d’obtenir un certificat.

Autre précision technique importante : dans ce contexte, un « jour » ne correspond pas à une journée calendaire classique, mais à exactement 86 400 secondes. Cela signifie que le moindre dépassement (même d’une fraction de seconde) est compté comme un jour supplémentaire. Pour éviter toute erreur de calcul, les certificats ne devront donc pas être émis à la limite exacte de validité.

Quel impact pour les professionnels du web et comment s’y préparer ?

Cette réduction drastique de la durée de vie des certificats risque de transformer en profondeur les pratiques de gestion côté technique. Pour les développeurs, administrateurs système ou équipes DevOps, cela signifie qu’il ne sera plus envisageable de gérer les certificats manuellement. Le rythme de renouvellement deviendra trop fréquent et le moindre oubli pourra entraîner des conséquences visibles, comme des messages d’erreur dans les navigateurs, des interruptions d’accès au site, voire une perte de trafic ou de revenus. Les infrastructures non automatisées devront évoluer, au risque de voir les incidents liés à des certificats expirés se multiplier.

Pour anticiper cette évolution, les professionnels ont tout intérêt à mettre en place des solutions d’automatisation dès maintenant. Des outils, des services cloud avec gestion intégrée des certificats ou encore des plateformes ACME compatibles, permettent d’automatiser le cycle de vie des certificats. Il est également recommandé de réaliser un audit des certificats existants, de former les équipes concernées et de revoir les procédures de surveillance et d’alertes.