veilletech.fr
9 oct. Feed du jour
#02 DEVOPS Article

Let's Encrypt : 64 jours dès le 10 février 2027

Votre cron de soixante jours a quatre mois pour apprendre à compter.

Let's Encrypt passe tous ses certificats à 64 jours le 10 février 2027, et son environnement de test dès le 14 octobre 2026. Les renouvellements calés sur une date fixe — 30 jours avant expiration, tous les 60 jours — sont ceux qui vont casser ; un client compatible ARI n'a rien à faire. La réutilisation d'une validation de domaine passe de 30 à 10 jours.

2 min de lecturedébutantvidéo 1:18
Partager
Sommaire4 sections
  1. Ce qui se passe
  2. Ce qui casse
  3. Comment s'y prendre
  4. À retenir

Ce qui se passe

Le 10 février 2027, le profil par défaut de Let's Encrypt (classic) passe à des certificats de 64 jours au lieu de 90. Tout certificat émis ou renouvelé à partir de cette date est concerné, sauf pour ceux qui ont déjà choisi plus court : 45 jours avec le profil tlsserver, 6 jours avec shortlived. Rien n'est révoqué ; les derniers certificats de 90 jours expireront vers le 11 mai 2027.

L'environnement de test bascule le 14 octobre 2026.

À la même date de février, la réutilisation d'une autorisation — le délai pendant lequel une validation de domaine réussie sert à émettre d'autres certificats — tombe de 30 à 10 jours. Les limites de débit, les points d'accès ACME et les chaînes de certification ne changent pas.

L'étape suivante est datée depuis décembre 2025 : le 16 février 2028, classic passera à 45 jours et à 7 heures de réutilisation.

Ce qui casse

Pas le certificat : le renouvellement codé en dur. Une tâche lancée tous les 60 jours ne laisse plus que 4 jours de marge avant expiration, et un seul échec suffit à faire tomber le site. Let's Encrypt cite les valeurs à traquer : 83, 80 et 60, dans les crons, les scripts d'enrobage et les procédures écrites.

Comment s'y prendre

  1. Vérifier si votre client ACME gère ARI (ACME Renewal Info, RFC 9773) : l'autorité lui dit alors quand renouveler, et il n'y a rien à modifier.
  2. Sinon, chercher les intervalles en dur :
Terminal
grep -rnwE '83|80|60' /etc/cron* /etc/systemd/system /usr/local/bin 2>/dev/null
  1. Renouveler aux deux tiers de la durée de vie : vers le 43e jour pour 64 jours, le 30e pour 45.
  2. À partir du 14 octobre, pointer le client sur le staging et contrôler la date de renouvellement qu'il calcule.
  3. Automatiser le rechargement du serveur et alerter sur tout échec.

Seul un client conçu pour s'appuyer sur la réutilisation des validations doit être revu pour le passage à 10 jours.

Source : 64-Day Certificate Lifetimes Coming Feb 2027, Let's Encrypt, 7 octobre 2026. Calendrier complet : billet du 2 décembre 2025.