À partir du 10 février 2027, les certificats de Let's Encrypt seront valables 64 jours par défaut, contre 90 jours aujourd'hui. Selon la couverture de SecurityWeek, cette autorité de certification ouverte présente ce changement comme une étape vers des durées de 45 jours, prévues pour 2028. Quiconque renouvelle ses certificats selon un calendrier fixe dispose de quelques mois pour s'adapter.
La durée par défaut de 64 jours ne remplace pas les profils plus courts de 45 ou six jours pour les abonnés qui les choisissent.
Calendrier de la bascule
Tout certificat émis ou renouvelé à partir du 10 février 2027 aura une durée de 64 jours. Les certificats déjà émis avec 90 jours restent valables jusqu'à leur expiration, le dernier devant expirer le 11 mai 2027.
L'objectif de 45 jours découle d'un calendrier publié par Let's Encrypt dans un billet de blog de décembre 2025, comme le rapporte SecurityWeek. La phase de 64 jours se situe entre la valeur par défaut actuelle et cet objectif.
L'argument de sécurité
Let's Encrypt présente cette durée plus courte comme conforme aux Baseline Requirements du CA/Browser Forum. Les bénéfices attendus sont une révocation plus efficace et une fenêtre plus étroite pendant laquelle un certificat compromis peut être exploité.
SecurityWeek rapporte également la déclaration de l'autorité selon laquelle toutes les autorités de certification publiquement reconnues apporteront des changements comparables.
Préparer les renouvellements
Let's Encrypt passera aux certificats de 64 jours dans son environnement de préproduction le 14 octobre 2026, selon son annonce officielle. L'autorité recommande d'y effectuer les tests avant le changement en production.
L'ampleur du travail dépend de la façon dont les renouvellements sont déclenchés :
- Clients prenant en charge ACME Renewal Info (ARI) : selon Let's Encrypt, les renouvellements automatisés ne devraient pas nécessiter de modifications, puisque ARI permet à l'autorité d'indiquer au client quand renouveler. Elle conseille de vérifier la documentation du client ACME pour savoir si ARI est implémenté.
- Renouvellements selon un calendrier fixe : renouveler lorsque les deux tiers environ de la durée de vie du certificat se sont écoulés, plutôt que de conserver un intervalle fixe prévu pour des certificats de 90 jours.
L'autorité recommande aussi d'automatiser le déploiement et le rechargement des certificats et de prévoir des alertes en cas d'échec du renouvellement. L'émission seule ne remplace pas le déploiement du certificat renouvelé sur le service qui l'utilise.
La réutilisation des autorisations se réduit encore
Un second changement concerne la durée pendant laquelle une validation de domaine terminée peut être réutilisée. Let's Encrypt indique que cette période passera à 10 jours « l'année prochaine », puis à sept heures en 2028.
L'autorité avance deux raisons. Elle veut se conformer à une réduction, prévue en 2029, des durées maximales de réutilisation des validations. Elle souhaite aussi supprimer la « nouvelle vérification CAA », qui l'oblige à refaire une partie de la validation lorsque les données de validation datent de plus de sept heures.
Let's Encrypt précise que les points d'accès ACME, les chaînes d'émission et les limites de débit ne sont pas affectés par ce changement.
