Let's Encrypt réduira la durée de validité des certificats à 45 jours

L'autorité de certification Lets Encrypt, à but non lucratif, gérée par la communauté et offrant des certificats gratuitement à tous ceux qui le souhaitent, a annoncé la décision de réduire progressivement la durée de validité des certificats TLS délivrés de 90 à 45 jours. À partir du 10 février 2027, la durée de validité des certificats sera réduite à 64 jours, et le 16 février 2028, à 45 jours. La possibilité facultative d'obtenir des certificats d'une durée de 45 jours sera mise en place le 13 mai 2026.

Simultanément, la période d'autorisation sera également raccourcie : le 10 février 2027, elle sera réduite de 30 à 10 jours, et le 16 février 2028, de 10 jours à 7 heures. Par période d'autorisation, on entend le temps après la confirmation des droits sur domaine, durant lequel le certificat peut être délivré sans passer par de nouveaux contrôles. Une fois ce délai écoulé, une nouvelle confirmation des droits est requise.

Comme raison de la réduction de la durée de validité des certificats, on cite de nouvelles exigences du CA/Browser Forum, auxquelles doivent se conformer les producteurs de navigateurs et les autorités de certification. Une réduction similaire de la durée de validité sera mise en œuvre par toutes les autorités de certification. Le CA/Browser Forum a fixé comme date limite la fin mars 2029 pour l'achèvement de cette mise en œuvre, avec une durée maximale de validité des certificats de 47 jours. Après mars 2029, le traitement dans les navigateurs de nouveaux certificats dont la durée de validité dépasse 47 jours entraînera l'affichage d'erreurs «ERR_CERT_VALIDITY_TOO_LONG».

Parmi les avantages du passage aux certificats à courte durée de vie, on note la possibilité de réduire le temps d'implémentation des nouveaux algorithmes cryptographiques en cas de découverte de vulnérabilités dans ceux actuellement en vigueur, ainsi qu'une sécurité accrue. Par exemple, en cas de fuite non détectée d'un certificat à la suite d'une violation de sécurité, les certificats à courte durée de vie empêcheront les attaquants de contrôler le trafic de la victime pendant une longue période ou d'utiliser les certificats pour effectuer du phishing. Des vérifications plus fréquentes de la possession du domaine et la réduction des durées de validité des certificats diminueront également la probabilité que le certificat continue d'être valide après que les informations qu'il contient aient perdu leur pertinence, et réduiront le risque de diffusion de certificats mal émis.

En raison de la réduction de la durée de validité des certificats, Let’s Encrypt a recommandé aux utilisateurs de ne pas mettre à jour les certificats manuellement, mais de passer à des systèmes automatiques de gestion des certificats. De plus, les utilisateurs déjà en cours d'utilisation de systèmes automatisés doivent s'assurer que leurs outils prennent correctement en charge les certificats avec une durée de validité réduite. Pour coordonner le renouvellement automatique en temps opportun des certificats, les administrateurs peuvent utiliser l'extension du protocole ARI (ACME Renewal Information), qui permet d'obtenir des informations sur la nécessité de renouveler des certificats et de choisir le meilleur moment pour le renouvellement. Il est également judicieux de configurer un système de surveillance pour détecter les situations dans lesquelles un certificat n'a pas été renouvelé à temps.

Pour simplifier la vérification des droits sur un domaine, le projet Let’s Encrypt prévoit d'introduire en 2026 une nouvelle méthode de vérification DNS-PERSIST-01, qui, contrairement aux méthodes HTTP-01 et DNS-01, ne nécessite pas de mise à jour des informations à chaque vérification et n'exige pas de l'ACME-client l'accès à l'infrastructure web ou au serveur DNS. Avec PERSIST-01, il suffit d'ajouter une fois dans le DNS un enregistrement TXT spécifique (‘_validation-persist.example.com. IN TXT («ca.example;» » accounturi=https://ca.example/acct/123″)’) et l'ACME-client pourra effectuer l'autorisation sans mise à jour des données dans le DNS.

Source : opennet.ru