Le certificat qui se remplace lui même

Vous connaissez la sensation : vous ouvrez un site le matin et le navigateur vous dit que la connexion n'est pas privée. Neuf fois sur dix, un certificat a expiré. Quelqu'un a oublié de le renouveler.

C'est exactement le problème qu'un certificat automatique résout.

Un certificat automatique n'est pas un document physique ni une preuve délivrée manuellement. C'est un certificat TLS/SSL numérique qui est demandé, émis, installé et renouvelé de manière automatisée. Sans un tel certificat, un site web ne peut pas proposer HTTPS.

Et sans HTTPS, vous obtenez des avertissements dans le navigateur. Les visiteurs abandonnent. La confiance disparaît.

Pourquoi la gestion manuelle échoue

Le vrai travail ne réside pas dans la demande d'un certificat. Il réside dans le renouvellement à temps.

Les certificats expirent. Toujours. Un certificat qui fonctionnait parfaitement l'année dernière est aujourd'hui un blocage. La gestion manuelle est source d'erreurs et chronophage — et avec des dizaines ou des centaines de domaines, tout simplement intenable.

Vous pouvez tenir un tableur avec les dates d'expiration. Vous pouvez mettre un rappel dans votre agenda. Jusqu'à ce que quelqu'un soit en vacances, ou que la responsabilité reste en suspens entre deux équipes. Alors le site tombe, et vous vous retrouvez dans les journaux à chercher une erreur qui n'a rien à voir avec votre code.

ACME : le protocole derrière tout ça

L'automatisation repose sur une seule norme ouverte : **ACME**, l'*Automatic Certificate Management Environment*. Le protocole est fixé dans la **RFC 8555**, une spécification de l'IETF.

ACME permet à un système de demander lui-même un certificat auprès d'une autorité de certification (CA), de prouver la possession du domaine, de recevoir et d'installer le certificat, et de répéter ce processus juste avant l'expiration. Sans intervention humaine.

Les messages sont encodés en JSON et transitent par HTTPS. Cela rend le protocole sûr et interopérable — tout client qui suit la RFC 8555 parle à toute CA qui la suit.

Let's Encrypt et le prix du gratuit

La CA la plus connue qui utilise ACME est **Let's Encrypt**. Une organisation à but non lucratif qui délivre des certificats TLS gratuits. Vous les demandez avec quelques commandes, souvent via un outil comme **Certbot**.

Gratuit a un prix, et celui-ci n'est pas en euros. Les certificats Let's Encrypt sont valables 90 jours. Court. C'est volontaire : cela impose l'automatisation. Qui les renouvelle manuellement y passe quatre fois par an. Qui les automatise ne remarque rien.

Il existe aussi l'autre côté du marché. Des CA commerciales comme DigiCert ou Sectigo vendent des certificats avec une validité plus longue, une validation plus étendue (OV, EV) et un numéro de téléphone que vous pouvez appeler en cas de problème. Pour une banque ou un portail public, ce n'est pas un luxe. Pour un blog personnel, c'est de l'argent jeté par les fenêtres.

Comment la possession du domaine est prouvée

Avant qu'une CA n'émette un certificat, elle veut être certaine que c'est bien vous qui gérez le domaine. ACME prévoit trois méthodes.

**HTTP-01** : le client place un fichier à un chemin spécifique sur votre serveur web. La CA le récupère. S'il est là, c'est prouvé.

**DNS-01** : le client ajoute un enregistrement TXT à votre DNS. Cela fonctionne aussi pour les certificats wildcard, ce que HTTP-01 ne permet pas.

**TLS-ALPN-01** : vérification via une extension TLS spéciale, sans passer par HTTP ni DNS.

Les trois sont conçues pour faire parler des machines entre elles. Pas d'e-mail, pas de mot de passe, pas de signature à l'encre.

Ce que cela vous coûte en complexité

Installer un client ACME, c'est un quart d'heure de travail. Certbot sur un seul serveur Nginx : vous lancez une commande et c'est en place.

Mais dès que votre infrastructure grandit, la complexité grandit avec elle. Un reverse proxy, un load balancer, des dizaines de conteneurs qui ont chacun besoin de leur propre certificat — alors un seul cronjob ne suffit plus.

Dans Kubernetes, il existe **cert-manager** pour cela. Il intègre ACME dans l'infrastructure elle-même. Chaque nouveau service déployé reçoit automatiquement un certificat valide. C'est élégant, et cela demande quelqu'un qui comprend ce qui se passe sous le capot quand ça tourne mal.

Héberger soi-même, ça sonne magnifique, jusqu'à ce que vous soyez en train de déboguer un enregistrement DNS un dimanche soir à onze heures et demie. Là, vous n'êtes pas un client qui attend au helpdesk. Là, c'est vous le helpdesk.

L'automatisation n'est pas toujours la réponse

Toute émission de certificat ne doit pas forcément se faire automatiquement. Cela ressort d'un tout autre domaine : le gouvernement néerlandais a choisi en 2021, en toute connaissance de cause, de délivrer les certificats corona numériques **uniquement à la demande de l'intéressé**.

Le règlement européen autorisait la délivrance automatique. Les Pays-Bas, non. La **Tijdelijke spoedregeling DCC** (référence 3220904-1011753-PDC19, publiée le 30 juin 2021 au Staatscourant) et le **Tijdelijk besluit DCC** du 28 septembre 2021 le fixent.

Cela ne concerne pas les certificats TLS. Cela concerne les données personnelles et l'accès à des informations personnelles. Là, le contrôle pèse plus lourd que l'efficacité.

Pour les certificats techniques, c'est différent. Là, l'automatisation n'est pas une question de vie privée mais une question de sécurité. Le NCSC parle dans ses publications de « gestion sans souci des certificats » et cite explicitement ACME comme la norme ouverte qui peut **automatiser entièrement le remplacement périodique**.

Ce que cela vous apporte

Pas de downtime à cause de certificats expirés. Des coûts opérationnels plus bas. Un déploiement plus rapide de nouveaux services. Une meilleure conformité aux normes de sécurité.

Et quelque chose de moins tangible : les développeurs peuvent déployer plus vite des prototypes et sécuriser des environnements de test, sans devoir d'abord passer par une demande auprès d'un administrateur. Cela change la façon dont les équipes travaillent.

La tendance est claire. La gestion manuelle disparaît, l'automatisation gagne. Mais quel outil vous choisissez — Certbot, acme.sh, cert-manager, ou la solution intégrée de votre hébergeur — dépend de la mesure dans laquelle vous voulez comprendre ce qui se passe sous le capot.

Car l'automatisation reprend le travail. Pas la responsabilité.