HTTP-01 ou DNS-01 ?
ACME est le protocole avec lequel Let’s Encrypt et d’autres AC vérifient automatiquement que tu contrôles un domaine. Il y a deux méthodes courantes.
- HTTP-01 : le client dépose un fichier sous
/.well-known/acme-challenge/, l’AC le récupère sur le port 80. Le plus simple si le serveur est joignable depuis Internet. Pas de wildcards. - DNS-01 : le client crée un enregistrement TXT
_acme-challenge.<domaine>. Fonctionne aussi pour des serveurs internes sans accès public et est obligatoire pour les wildcards (*.example.com). Pour le renouvellement automatique, le client a besoin de l’API de ton fournisseur DNS.
Astuce pour les fournisseurs sans API : crée une fois _acme-challenge.example.com en CNAME vers un nom dans une zone avec API (p. ex. chez Cloudflare). Le client écrit alors là-bas et ta zone principale reste intacte.
Quel client ?
- certbot : le classique de l’EFF, dans toutes les distributions Linux. Configure lui-même le renouvellement via un timer systemd.
- acme.sh : un pur script shell sans dépendances, plus de 150 fournisseurs DNS. Idéal pour routeurs, NAS et conteneurs.
- lego : un seul binaire Go, pratique pour les scripts et la CI.
- win-acme : pour Windows et IIS. Lie le certificat directement dans IIS et crée une tâche planifiée.
Durées et limites
Les certificats Let’s Encrypt sont valables 90 jours ; les clients renouvellent après environ 60 jours. Let’s Encrypt réduit la durée par étapes à 45 jours d’ici février 2028 ; à partir de mars 2029, 47 jours au plus s’appliquent à toute la branche. Si tout est automatisé, tu ne le remarqueras pas. Teste d’abord les nouvelles installations dans l’environnement de test : Let’s Encrypt n’autorise que cinq certificats identiques par ensemble de domaines et par semaine, et les validations échouées sont aussi limitées.
Si un enregistrement CAA bloque l’AC choisie, l’émission échoue ; la vérification ci-dessus le montre. Ensuite, génère la configuration serveur adaptée avec le générateur de configuration TLS et contrôle le résultat avec la vérification SSL.
FAQ
Let’s Encrypt est-il vraiment gratuit et adapté aux entreprises ?
Oui. Les certificats sont validés par domaine (DV), comme la plupart des certificats commerciaux standard, et acceptés par tous les navigateurs. Il manque seulement les informations OV/EV sur l’entreprise et un contrat de support.
Pourquoi ZeroSSL ou Google plutôt que Let’s Encrypt ?
Comme seconde AC en cas d’urgence, pour d’autres limites ou parce qu’une politique exige plusieurs fournisseurs. Les deux sont gratuits mais nécessitent l’External Account Binding (EAB) avec un compte.
Ai-je besoin du port 80 si je ne propose que HTTPS ?
Pour HTTP-01, oui ; l’AC valide toujours via http:// sur le port 80. Le serveur peut ensuite simplement y rediriger vers HTTPS. Si tu ne peux pas ou ne veux pas ouvrir le port 80, prends DNS-01.
ECDSA ou RSA ?
ECDSA P-256 est plus petit et plus rapide et pris en charge par tous les clients actuels. RSA 2048 seulement si de très vieux appareils doivent accéder.
Où saisir mon jeton d’API ?
Pas ici. Les commandes contiennent des espaces réservés comme