Let’s Encrypt est une autorité de certification à but non lucratif qui délivre gratuitement des certificats TLS, ceux qui font apparaître le cadenas et le préfixe HTTPS dans le navigateur. Son principe : tout est automatisé, de la demande au renouvellement. Voici comment ça marche, comment en obtenir un et pourquoi il faut automatiser son renouvellement.
Comment fonctionne Let’s Encrypt
Let’s Encrypt s’appuie sur le protocole ACME. Pour émettre un certificat, il doit vérifier que vous contrôlez bien le nom de domaine, par l’une de ces méthodes (« défis ») :
- HTTP-01 : vous placez un fichier précis sur votre site, accessible en HTTP sur le port 80. C’est la méthode la plus courante.
- DNS-01 : vous créez un enregistrement TXT dans la zone DNS du domaine. Obligatoire pour les certificats « wildcard » (
*.exemple.fr). - TLS-ALPN-01 : une validation sur le port 443, utilisée par certains serveurs.
Durée de validité : courte, par design
Les certificats Let’s Encrypt sont valables 90 jours. Cette durée limitée réduit les risques en cas de compromission, et impose d’automatiser le renouvellement. On les renouvelle en général tous les 60 jours : un certificat qui expire provoque un avertissement de sécurité dans tous les navigateurs.
Obtenir un certificat avec Certbot
Certbot est le client le plus utilisé. Exemple sur un serveur Linux avec Nginx :
- Installez Certbot et son plugin Nginx avec le gestionnaire de paquets de votre distribution (par exemple
sudo apt install certbot python3-certbot-nginxsous Debian ou Ubuntu). - Lancez
sudo certbot --nginx -d exemple.fr -d www.exemple.fr. - Choisissez la redirection automatique de HTTP vers HTTPS quand Certbot vous le propose.
Pour Apache, remplacez --nginx par --apache. Sans serveur web à configurer, sudo certbot certonly --standalone -d exemple.fr obtient un certificat que vous installerez vous-même.
Le renouvellement automatique
Certbot installe en général une tâche planifiée (timer systemd ou cron) qui tente le renouvellement deux fois par jour, et ne renouvelle que si l’échéance approche. Vérifiez-la sans rien modifier :
sudo certbot renew --dry-run
Si l’essai réussit, le renouvellement fonctionnera quand il le faudra. Prévoyez un rechargement du serveur web après chaque renouvellement (Certbot le fait avec ses plugins).
Sur un hébergement mutualisé
La plupart des hébergeurs (OVH, o2switch, Hostinger, etc.) proposent Let’s Encrypt directement dans leur panneau d’administration : un bouton active le certificat et le renouvelle sans que vous ayez à ouvrir un terminal. C’est la solution la plus simple pour un site WordPress. Si vous rencontrez des problèmes d’adresse après le passage en HTTPS, vérifiez que l’adresse du site WordPress est bien en https:// dans Réglages > Général.
Wildcard, sous-domaines et limites
- Un certificat wildcard couvre tous les sous-domaines d’un domaine ; il nécessite la validation DNS-01, idéalement automatisée avec l’API de votre fournisseur DNS.
- Let’s Encrypt applique des limites de débit (nombre de certificats par domaine et par semaine) : testez d’abord avec l’option
--stagingpour ne pas les atteindre. - Ne le confondez pas avec un certificat « EV » : Let’s Encrypt ne valide que le domaine, pas l’identité de l’organisation.
Les erreurs fréquentes
- Le port 80 est bloqué par un pare-feu ou une redirection : la validation HTTP-01 échoue. Vérifiez avec un test de port ouvert.
- Le DNS ne pointe pas vers le bon serveur : attendez la propagation, puis réessayez.
- Un certificat qui n’est pas renouvelé : la tâche planifiée a été désactivée ou le serveur web n’a pas été rechargé.
Questions fréquentes
Let’s Encrypt est-il vraiment gratuit ?
Oui. Il est financé par des dons et des sponsors. Vous pouvez soutenir le projet, mais rien n’est obligatoire.
Un certificat gratuit est-il moins sûr qu’un certificat payant ?
Le chiffrement est identique. La différence tient à la validation et aux services associés (assurance, support, validation d’entreprise), pas à la solidité du chiffrement.
Peut-on l’utiliser sur un réseau privé ?
Non, Let’s Encrypt ne délivre des certificats que pour des noms de domaine publics. Pour un réseau interne, utilisez une autorité de certification privée.
