Guide complet pour comprendre, déployer et renouveler vos certificats SSL avec Let's Encrypt. Protégez votre site web d'entreprise et améliorez votre référencement.
Le cadenas vert dans la barre d'adresse de votre navigateur n'est pas un simple détail esthétique. Il signale que la connexion entre votre visiteur et votre site web est chiffrée, grâce à un certificat SSL/TLS. En 2026, ne pas disposer d'un certificat SSL sur son site professionnel revient à laisser la porte d'entrée de son entreprise grande ouverte. Voyons ensemble pourquoi et comment y remédier.
Qu'est-ce qu'un certificat SSL/TLS ?
Le chiffrement en quelques mots
SSL (Secure Sockets Layer) et son successeur TLS (Transport Layer Security) sont des protocoles cryptographiques qui garantissent la confidentialité et l'intégrité des échanges entre un navigateur et un serveur web. Quand vous visitez un site en https://, les données transitent dans un tunnel chiffré que personne ne peut intercepter.
Un certificat SSL est un fichier numérique émis par une autorité de certification (CA). Il contient :
- L'identité du propriétaire du domaine
- La clé publique servant au chiffrement
- La signature de l'autorité de certification
- La période de validité
Pourquoi c'est indispensable pour votre entreprise
Sécurité des données : chaque formulaire de contact, chaque mot de passe, chaque transaction passe par votre site. Sans SSL, ces informations circulent en clair sur le réseau.
Confiance des visiteurs : les navigateurs modernes affichent un avertissement explicite ("Non sécurisé") sur les sites sans HTTPS. Pour un prospect qui découvre votre entreprise, c'est un signal d'alarme immédiat.
Référencement naturel (SEO) : depuis 2014, Google considère le HTTPS comme un facteur de classement. Un site non sécurisé est pénalisé dans les résultats de recherche.
Conformité RGPD : le règlement européen impose de mettre en œuvre des mesures techniques appropriées pour protéger les données personnelles. Le chiffrement en transit fait partie de ces mesures.
Let's Encrypt : le certificat gratuit qui a tout changé
Une révolution dans le monde SSL
Avant 2016, obtenir un certificat SSL impliquait de payer entre 50 et 500 € par an, selon le niveau de validation. Let's Encrypt, lancé par l'Internet Security Research Group (ISRG), a bouleversé ce modèle en proposant des certificats gratuits, automatisés et ouverts.
Aujourd'hui, Let's Encrypt sécurise plus de 360 millions de domaines dans le monde. C'est l'autorité de certification la plus utilisée au monde.
Les caractéristiques de Let's Encrypt
- Gratuit : aucun frais, jamais
- Automatisé : le protocole ACME (Automatic Certificate Management Environment) permet le déploiement et le renouvellement sans intervention manuelle
- Validité de 90 jours : plus courte que les certificats payants (1 an), mais compensée par l'automatisation du renouvellement
- Validation de domaine (DV) : prouve que vous contrôlez le domaine, sans vérifier l'identité de l'organisation
- Wildcard : supporte les certificats wildcard (*.votredomaine.fr) depuis 2018
Limites à connaître
Let's Encrypt délivre uniquement des certificats DV (Domain Validation). Si vous avez besoin d'un certificat OV (Organization Validation) ou EV (Extended Validation) — qui affiche le nom de votre entreprise dans le certificat —, il faudra passer par un fournisseur payant comme DigiCert, Sectigo ou GlobalSign.
Pour la grande majorité des PME, des indépendants et des collectivités, un certificat DV Let's Encrypt est largement suffisant.
Déployer Let's Encrypt : guide technique pas à pas
Prérequis
Avant de commencer, vous aurez besoin de :
- Un nom de domaine pointant vers votre serveur (enregistrement DNS A ou CNAME configuré)
- Un accès SSH à votre serveur (ou un panneau d'administration comme Plesk, cPanel, ISPConfig)
- Un serveur web installé (Apache, Nginx, Caddy, Traefik…)
Méthode 1 : Certbot (la référence)
Certbot est le client ACME officiel, développé par l'EFF. Voici comment l'installer et l'utiliser sur un serveur Linux.
Installation
Sur Debian/Ubuntu :
sudo apt update
sudo apt install certbotPour Apache :
sudo apt install python3-certbot-apachePour Nginx :
sudo apt install python3-certbot-nginxObtention du certificat
Avec Apache :
sudo certbot --apache -d votredomaine.fr -d www.votredomaine.frAvec Nginx :
sudo certbot --nginx -d votredomaine.fr -d www.votredomaine.frCertbot va automatiquement :
- Vérifier que vous contrôlez le domaine (challenge HTTP-01)
- Générer le certificat et la clé privée
- Configurer votre serveur web pour utiliser HTTPS
- Mettre en place la redirection HTTP → HTTPS
Renouvellement automatique
Les certificats Let's Encrypt expirent après 90 jours. Certbot installe automatiquement un timer systemd ou une tâche cron pour renouveler les certificats avant expiration :
sudo certbot renew --dry-runCette commande teste le renouvellement sans modifier vos certificats. Si tout fonctionne, le renouvellement réel se fera automatiquement.
Pour vérifier la planification :
sudo systemctl list-timers | grep certbotMéthode 2 : acme.sh (alternative légère)
acme.sh est un script shell pur, sans dépendance Python. Idéal pour les environnements minimalistes ou les conteneurs.
curl https://get.acme.sh | sh
acme.sh --issue -d votredomaine.fr -w /var/www/html
acme.sh --install-cert -d votredomaine.fr \
--key-file /etc/ssl/private/key.pem \
--fullchain-file /etc/ssl/certs/fullchain.pem \
--reloadcmd "systemctl reload nginx"Méthode 3 : Caddy ou Traefik (SSL automatique)
Si vous utilisez des reverse proxies modernes comme Caddy ou Traefik, le SSL est géré automatiquement. Il suffit de déclarer vos domaines :
Caddy (Caddyfile) :
votredomaine.fr {
reverse_proxy localhost:3000
}Caddy obtient et renouvelle le certificat Let's Encrypt sans aucune configuration supplémentaire.
Traefik (docker-compose) :
labels:
- traefik.http.routers.monapp.rule=Host(`votredomaine.fr`)
- traefik.http.routers.monapp.tls.certresolver=letsencryptCes outils sont particulièrement adaptés aux architectures conteneurisées (Docker, Kubernetes).
Les erreurs courantes à éviter
1. Oublier le renouvellement
C'est la cause numéro un de certificats expirés. Même avec l'automatisation, vérifiez régulièrement que le renouvellement fonctionne. Un certificat expiré = un site inaccessible pour beaucoup de visiteurs.
Conseil : mettez en place une alerte de monitoring (avec Checkmk, Uptime Kuma ou un simple script) qui vérifie la date d'expiration de vos certificats.
2. Ne pas rediriger HTTP vers HTTPS
Avoir un certificat ne suffit pas si votre site reste accessible en HTTP. Configurez une redirection 301 permanente de http:// vers https://.
Pour Nginx :
server {
listen 80;
server_name votredomaine.fr;
return 301 https://$host$request_uri;
}3. Contenu mixte (mixed content)
Votre page est en HTTPS mais charge des ressources (images, scripts, CSS) en HTTP ? Le navigateur affichera un avertissement et votre cadenas sera cassé. Vérifiez que toutes les ressources utilisent des URLs relatives ou HTTPS.
4. Ignorer les sous-domaines
Chaque sous-domaine a besoin de son propre certificat (ou d'un certificat wildcard). N'oubliez pas mail.votredomaine.fr, api.votredomaine.fr, intranet.votredomaine.fr, etc.
5. Utiliser des protocoles obsolètes
Désactivez TLS 1.0 et 1.1 (obsolètes et vulnérables). N'autorisez que TLS 1.2 et 1.3.
Pour Nginx :
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;Aller plus loin : bonnes pratiques SSL en entreprise
HSTS : forcer le HTTPS définitivement
Le header HTTP Strict Transport Security indique au navigateur de ne jamais accéder à votre site en HTTP, même si l'utilisateur tape http:// manuellement.
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;Une fois activé avec une durée suffisante, vous pouvez soumettre votre domaine à la liste de préchargement HSTS.
OCSP Stapling : performances et confidentialité
L'OCSP Stapling permet à votre serveur de fournir directement la preuve de validité du certificat, au lieu de laisser le navigateur interroger l'autorité de certification. Résultat : connexion plus rapide et meilleure confidentialité.
ssl_stapling on;
ssl_stapling_verify on;
resolver 1.1.1.1 8.8.8.8 valid=300s;CAA Records : contrôler qui peut émettre des certificats
Les enregistrements DNS CAA (Certificate Authority Authorization) permettent de spécifier quelles CA sont autorisées à émettre des certificats pour votre domaine.
votredomaine.fr. CAA 0 issue "letsencrypt.org"
votredomaine.fr. CAA 0 iodef "mailto:admin@votredomaine.fr"Cela empêche un attaquant d'obtenir un certificat frauduleux auprès d'une autre CA.
Certificate Transparency : surveiller les émissions
Utilisez des outils comme crt.sh ou Cert Spotter pour surveiller les certificats émis pour votre domaine. Si un certificat non autorisé apparaît, vous serez alerté immédiatement.
Tester et valider votre configuration SSL
Plusieurs outils gratuits permettent d'auditer votre configuration :
- SSL Labs : le test de référence, avec une note de A à F
- Mozilla Observatory : analyse les headers de sécurité en plus du SSL
- testssl.sh : outil en ligne de commande pour un audit complet
Visez au minimum la note A sur SSL Labs. Avec les bonnes pratiques décrites dans cet article, obtenir un A+ est tout à fait réalisable.
Combien ça coûte ?
| Solution | Coût annuel | Niveau de validation |
|---|---|---|
| Let's Encrypt | Gratuit | DV |
| Certificat DV payant | 10 – 80 € | DV |
| Certificat OV | 80 – 300 € | OV |
| Certificat EV | 150 – 600 € | EV |
| Wildcard Let's Encrypt | Gratuit | DV |
| Wildcard payant | 100 – 500 € | DV/OV |
Pour une PME, la solution Let's Encrypt couvre 95 % des besoins. Le coût réel réside dans la configuration initiale et la maintenance — c'est là qu'un prestataire informatique fait la différence.
Pourquoi confier la gestion SSL à un prestataire ?
Même si Let's Encrypt est gratuit et automatisé, la gestion SSL en entreprise peut devenir complexe :
- Multiples domaines et sous-domaines à gérer
- Environnements hybrides (serveurs physiques, cloud, conteneurs)
- Surveillance et alerting en cas d'expiration
- Configuration des headers de sécurité (HSTS, CSP, etc.)
- Mise à jour des protocoles et des suites de chiffrement
- Gestion des certificats internes (mTLS, PKI privée)
Chez VaultAura, nous accompagnons les PME et les collectivités de la région lyonnaise dans la sécurisation complète de leur infrastructure web. De l'audit initial à la mise en place d'une gestion SSL automatisée et monitorée, nous assurons que vos certificats ne deviennent jamais un point de défaillance.
Vous souhaitez sécuriser votre site web ou vos applications internes avec des certificats SSL correctement configurés ? Contactez VaultAura pour un diagnostic gratuit de votre infrastructure. Nous vous aiderons à mettre en place une solution adaptée à vos besoins, qu'il s'agisse d'un simple site vitrine ou d'une architecture multi-services.
