Prestation · Certificats & PKI
Gestion du cycle de vie des certificats
En 2029, un certificat public durera 47 jours.
Le fait déclencheur
De 398 à 47 jours : le calendrier qui change tout
En avril 2025, le CA/Browser Forum — l'organisme qui réunit les autorités de certification et les éditeurs de navigateurs — a adopté le ballot SC-081v3, sur proposition d'Apple. Il réduit par paliers la durée de vie maximale des certificats TLS publiquement reconnus. Le texte s'impose à toutes les autorités de certification, sans dérogation.
398 j
La règle en vigueur jusqu'au 14 mars 2026. Un renouvellement annuel, traité comme une formalité administrative.
200 j
Depuis le 15 mars 2026. Deux renouvellements par an. La plupart des autorités émettent en réalité à 199 jours pour éviter tout dépassement.
100 j
À partir du 15 mars 2027. Environ quatre renouvellements par an. Le suivi manuel devient ingérable au-delà de quelques dizaines de certificats.
47 j
À partir du 15 mars 2029. Près de huit renouvellements par an. L'automatisation n'est plus un choix d'organisation, c'est une condition de fonctionnement.
× 8
Multiplication de la fréquence de renouvellement entre le régime à 398 jours et celui à 47 jours.
Calcul SC-081v3
10 jours
Durée de réutilisation des données de validation de domaine à terme, contre 398 jours auparavant : la revalidation devient quasi continue.
SC-081v3
1 seconde
Dépasser la durée maximale, ne serait-ce que d'une seconde, constitue une émission non conforme et déclenche une révocation obligatoire.
Baseline Requirements
45 j
Durée annoncée par Let's Encrypt à l'horizon 2028, soit un an avant l'échéance imposée par le CA/Browser Forum.
Let's Encrypt
Ce que la première marche a déjà changé
Les certificats émis avant chaque date de bascule restent valides jusqu'à leur échéance naturelle. Beaucoup d'organisations ont donc traversé 2026 sans rien remarquer — leur parc tournait encore sur des certificats de 398 jours émis en 2025. Le choc arrive au renouvellement suivant, et il arrive maintenant pour la plupart des parcs français.
Le risque concret
Ce que coûte réellement un certificat expiré
Une expiration ne dégrade rien progressivement : le service tombe d'un coup, à une heure que personne n'a choisie. Et contrairement à un incident de sécurité, elle est intégralement évitable — ce qui la rend d'autant plus difficile à justifier en interne.
L'interruption est totale et visible
Le navigateur affiche un avertissement de sécurité, l'API partenaire refuse la connexion, l'application mobile ne se synchronise plus. Il n'y a pas de dégradation partielle : le service est joignable ou il ne l'est pas.
Le diagnostic prend plus de temps que le correctif
Renouveler un certificat prend quelques minutes. Comprendre lequel a expiré, sur quel serveur, dans quel format, avec quelle chaîne intermédiaire, et qui détient la clé privée en prend souvent plusieurs heures — de nuit, sous pression.
L'incident se répète
Une expiration non traitée à la racine se reproduit à la période suivante, sur le même certificat ou sur son voisin. C'est le signe qu'il manque un inventaire, pas une procédure.
Les quatre causes que nous rencontrons
- Le certificat oublié — émis pour un projet, jamais inscrit dans un tableau de suivi, découvert le jour de sa chute.
- Le propriétaire parti — l'alerte de renouvellement arrive sur la boîte d'un collaborateur qui a quitté l'entreprise.
- L'équipement fermé — un boîtier réseau, un automate ou une imprimante multifonction dont le certificat s'importe uniquement à la main, via une interface web.
- Le certificat interne — mTLS, bus applicatif, cluster de base de données : invisible depuis l'extérieur, donc absent de toute supervision.
Pourquoi le problème s'aggrave mécaniquement
Avec une validité de 398 jours, un parc de 200 certificats générait environ 200 renouvellements par an. À 47 jours, le même parc en génère plus de 1 500. Aucune organisation n'ajoute l'équivalent de sept fois la charge à un processus déjà tenu à la main sans que quelque chose finisse par tomber.
C'est précisément l'effet recherché par le CA/Browser Forum : rendre l'automatisation incontournable. La sécurité gagnée vient de la réduction de la fenêtre d'exposition en cas de compromission d'une clé — mais elle se paie en contrainte opérationnelle.
Le périmètre
Les six étapes d'un cycle de vie maîtrisé
La gestion du cycle de vie des certificats ne se résume pas au renouvellement. Chaque étape a son point de rupture, et c'est rarement celle qu'on surveille.
Inventaire des certificats
Balayage du réseau interne et externe, lecture des magasins de certificats, analyse des configurations et des dépôts de code. L'objectif n'est pas de lister ce que vous savez avoir émis, mais de trouver ce que vous ignorez posséder.
Demande et délivrance
Choix de l'autorité — publique ou privée —, du type de validation, de la taille et de l'algorithme de clé. C'est ici que se décide la possibilité d'automatiser la suite : un certificat obtenu manuellement le restera.
Installation et chaîne de confiance
Installation sur le serveur, le répartiteur de charge ou l'équipement, avec la chaîne intermédiaire complète. La moitié des incidents de certificat que nous traitons viennent d'une chaîne incomplète, pas d'une expiration.
Suivi des échéances et des faiblesses
Alertes graduées avant expiration, détection des algorithmes obsolètes, des clés trop courtes et des autorités non conformes. Un tableau de bord unique, quelle que soit l'autorité émettrice.
Automatisation du cycle
Renouvellement déclenché sans intervention humaine, déploiement et rechargement du service inclus. C'est l'étape qui absorbe le passage à 100 puis 47 jours — et la seule qui le permette.
Retrait et fin de vie
Révocation en cas de compromission ou de départ d'un prestataire, retrait des configurations, suppression des clés privées associées. L'étape la moins documentée, et la première regardée en audit.
Comparaison
Suivi manuel ou CLM automatisé : ce qui change vraiment
Pour un parc typique de PME ou d'ETI — de cinquante à trois cents certificats répartis entre plusieurs autorités, des environnements cloud et quelques équipements physiques.
| Critère | Aujourd'huiTableur et rappels d'agenda | CibleCLM automatisé |
|---|---|---|
| Exhaustivité de l'inventaire | Les certificats connus, pas les autres | Découverte automatisée, y compris internes |
| Charge à 200 jours | Tenable | Nulle |
| Charge à 100 jours (2027) | Sous tension | Nulle |
| Charge à 47 jours (2029) | Intenable | Nulle |
| Détection d'un certificat oublié | Le jour de la panne | Au premier balayage |
| Départ du propriétaire | Alerte perdue | Sans effet sur le renouvellement |
| Preuve pour un audit NIS2 | À reconstituer | Export permanent |
| Migration post-quantique | Projet complet à relancer | Changement de paramètre |
| Délai de mise en place | — | 4 à 10 semaines |
Comparaison entre suivi manuel des certificats et gestion automatisée du cycle de vie
Comment on automatise
ACME, API et le cas des équipements fermés
Le protocole ACME comme socle
ACME ( Automatic Certificate Management Environment) est le protocole qui permet à un serveur de demander, valider et renouveler un certificat sans intervention humaine. Popularisé par Let's Encrypt, il est aujourd'hui pris en charge par la plupart des autorités commerciales et par les principales PKI privées.
Là où il s'applique, l'affaire est réglée : le certificat se renouvelle seul, le service se recharge, et la durée de validité devient un détail d'implémentation. C'est la raison pour laquelle nous cherchons systématiquement à ramener le maximum de votre parc sur ACME.
Les protocoles voisins
EST et SCEP couvrent les équipements réseau et les objets connectés, où ACME est rarement disponible. SPIFFE répond au cas des charges de travail éphémères, conteneurs et fonctions serverless, dont la durée de vie se compte en minutes.
Ce qui résiste, et comment le traiter
Une partie de votre parc ne parlera jamais ACME : boîtiers réseau à interface web, équipements industriels, imprimantes, applications métier anciennes. Trois stratégies, par ordre de préférence.
Le levier le plus rentable
SC-081v3 ne s'applique qu'aux certificats publiquement reconnus. Une autorité de certification privée, utilisée pour du mTLS, un bus applicatif ou des services internes, n'y est pas soumise : vous en fixez librement la durée de validité.
Or beaucoup d'organisations utilisent des certificats publics là où ils ne servent à rien — typiquement sur des services jamais exposés à un navigateur. Basculer cette partie du parc vers une PKI privée réduit à la fois la facture, la charge de renouvellement et la surface soumise au calendrier du CA/Browser Forum.
- Sortir la terminaison TLS de l'équipement en plaçant devant lui un proxy inverse — nginx, HAProxy, un répartiteur de charge — qui, lui, s'automatise sans difficulté. C'est la solution la plus propre et la plus durable.
- Scripter l'import via l'API de l'équipement, lorsqu'elle existe, dans un crochet de déploiement déclenché après chaque renouvellement.
- Assumer le manuel et l'encadrer — inventaire nominatif, alerte à trente puis sept jours, procédure écrite. Acceptable pour une poignée d'équipements, intenable au-delà.
Notre méthode
Le déroulé d'un projet CLM
Six étapes, calibrées pour une équipe informatique réduite et sans interruption de service. Chaque étape produit un livrable exploitable, y compris si le projet s'arrête là.
Découverte et inventaire
Balayage des plages réseau internes et externes, lecture des magasins de certificats, analyse des configurations de serveurs et des dépôts de code. Nous produisons la liste complète — émetteur, échéance, algorithme, taille de clé, service concerné, propriétaire présumé. Livrable : **inventaire des certificats** daté et liste des points aveugles.
Analyse de risque et priorisation
Classement par criticité du service, proximité d'échéance, faiblesse cryptographique et automatisabilité. Nous identifions les certificats qui tomberont dans les quatre-vingt-dix jours et ceux qui bloqueront l'automatisation. Livrable : matrice de risque et plan d'action séquencé.
Supervision et alertes
Mise en place du suivi centralisé des échéances, quelle que soit l'autorité émettrice, avec alertes graduées adressées à une boîte fonctionnelle et non à une personne. C'est la mesure qui supprime le risque immédiat, avant même toute automatisation. Livrable : tableau de bord opérationnel.
Automatisation du renouvellement
Déploiement d'ACME là où c'est possible, scripts d'import via API pour les équipements dotés d'une interface programmable, mise en place des proxys inverses pour les boîtiers fermés. Chaque automatisation est testée sur un renouvellement réel avant d'être considérée comme acquise. Livrable : parc automatisé et documentation d'exploitation.
Rationalisation du parc
Bascule vers une PKI privée des usages qui n'ont pas besoin d'une autorité publique, suppression des certificats orphelins, harmonisation des tailles de clés et des algorithmes. Cette étape réduit la facture autant que la charge. Livrable : parc rationalisé et politique de certificats.
Supervision et préparation post-quantique
Surveillance permanente de la posture, alertes sur les autorités et algorithmes dépréciés, revue périodique du parc, et préparation du passage aux certificats hybrides post-quantiques. Livrable : tableau de bord permanent et dossier de preuves pour vos auditeurs.
Trois formules
Prestations et tarifs indicatifs
Tarifs HT pour un parc de 50 à 500 certificats. Chaque formule inclut les livrables de la précédente.
| Formule 1 · DiagnosticAudit Certificats | Formule 2 · La plus demandéeCLM Automatisé | Formule 3 · Parcs étendusPKI & CLM Complet | |
|---|---|---|---|
| Tarif indicatif | 900 € HT/mois | 1 490 € HT/mois | Sur devis |
| Pour qui | Organisations souhaitant connaître leur exposition avant d'investir. | PME et ETI dont le parc devient ingérable à la main d'ici 2027. | Parcs multi-autorités, environnements hybrides, besoin d'une PKI privée. |
| Inventaire des certificats | Inclus | Inclus | Inclus |
| Matrice de risque & échéancier | Incluse | Incluse | Incluse |
| Détection des algorithmes faibles | Incluse | Incluse | Incluse |
| Supervision centralisée des échéances | — | Installée | Installée |
| Automatisation ACME | — | Déployée | Déployée |
| Scripts API pour équipements fermés | — | Jusqu'à 5 équipements | Sans limite |
| Proxys inverses de terminaison TLS | — | Option | Inclus |
| PKI privée & autorité interne | — | — | Installée |
| Certificats mTLS & services internes | — | Option | Inclus |
| Politique de certificats documentée | Trame | Rédigée | Rédigée + revue |
| Dossier de preuves NIS2 | Synthèse | Complet | Complet + suivi |
| Préparation certificats post-quantiques | Recommandations | Feuille de route | Pilote inclus |
| Formation de l'équipe | Restitution 2 h | Atelier 1 journée | Programme sur mesure |
| Supervision continue | — | 12 mois inclus | 24 mois + astreinte |
| Délai de mise en œuvre | 2 à 3 semaines | 6 à 12 semaines | 4 à 7 mois |
Comparaison des trois formules de gestion du cycle de vie des certificats
Le prolongement naturel
Pourquoi ce chantier prépare la migration post-quantique
Le même inventaire sert deux fois
L'inventaire de vos certificats constitue la moitié du CBOM — le Cryptographic Bill of Materials — qui sert de point de départ à toute migration quantum-safe. Vous ne le produirez pas deux fois.
Le second bénéfice est plus structurel. Une organisation dont les certificats se renouvellent automatiquement peut changer d'algorithme en modifiant un paramètre. Une organisation qui les renouvelle à la main devra rouvrir un projet complet le jour où les certificats hybrides post-quantiques deviendront la norme.
Le calendrier se recoupe
Le NIST place la dépréciation de RSA-2048 et ECC P-256 après 2030 et leur interdiction après 2035\. L'ANSSI a annoncé qu'à partir de 2027, elle cesserait de certifier les produits de sécurité dépourvus de composante post-quantique.
Autrement dit, la fenêtre pendant laquelle vous devrez absorber le passage à 47 jours est exactement celle pendant laquelle vous devrez basculer vos chaînes de certificats vers les algorithmes post-quantiques. Traiter les deux sujets séparément revient à payer deux fois la même transformation.
Questions fréquentes
FAQ — Gestion du cycle de vie des certificats
C'est l'ensemble des processus qui couvrent la vie d'un certificat, de sa découverte à sa révocation : **inventaire**, émission, déploiement, supervision des échéances, renouvellement et retrait. Le terme anglais Certificate Lifecycle Management désigne la même chose. L'enjeu n'est pas le renouvellement pris isolément, mais le fait qu'aucun certificat n'échappe au dispositif — un certificat inconnu ne peut pas être renouvelé.
Le **CA/Browser Forum** a adopté en avril 2025 le ballot **SC-081v3**, proposé par Apple, qui réduit la durée maximale par paliers : 200 jours depuis le 15 mars 2026, 100 jours à partir du 15 mars 2027, 47 jours à partir du 15 mars 2029. L'objectif est de réduire la fenêtre d'exposition en cas de compromission d'une clé ou d'émission erronée, et de rendre l'automatisation incontournable. Aucune dérogation n'est prévue.
Non. Les certificats émis avant chaque date de bascule restent valides jusqu'à leur échéance naturelle. C'est ce qui explique que beaucoup d'organisations n'ont rien remarqué en 2026 : leur parc tournait encore sur des certificats de 398 jours. Le changement se manifeste au **renouvellement suivant**, et il concerne aujourd'hui la majorité des parcs.
**ACME** ( Automatic Certificate Management Environment) permet à un serveur de demander, valider et renouveler un certificat sans intervention humaine. Popularisé par Let's Encrypt, il est aujourd'hui pris en charge par la plupart des autorités commerciales et par les principales PKI privées. Là où ACME s'applique, la durée de validité devient un détail d'implémentation.
Trois approches, par ordre de préférence. **Sortir la terminaison TLS de l'équipement** en plaçant devant lui un proxy inverse qui, lui, s'automatise — c'est la solution la plus durable. **Scripter l'import via l'API** de l'équipement, quand elle existe. Ou **assumer le manuel en l'encadrant** : inventaire nominatif et alertes graduées, acceptable pour une poignée d'équipements seulement.
Non. SC-081v3 ne s'applique qu'aux certificats **publiquement reconnus**. Une autorité de certification privée, utilisée pour du mTLS, un bus applicatif ou des services internes, reste maîtresse de ses durées de validité. C'est un levier souvent négligé : beaucoup d'organisations utilisent des certificats publics sur des services jamais exposés à un navigateur, et gagneraient à les basculer vers une PKI interne.
Deux offres, deux tarifs : l'**Audit** à **900 € HT/mois** (scanner et audit cryptographique quotidien, rapport PDF) et **Secure** à **1 490 € HT/mois** (tout l'Audit plus le chiffrement post-quantique actif et la rotation de clés managée). Pas d'autre grille tarifaire, pas de frais caché.
Deux à trois semaines pour l'inventaire et l'échéancier, puis six à douze semaines pour l'automatisation d'un parc de PME ou d'ETI. La **supervision centralisée** est opérationnelle dès la troisième semaine : c'est elle qui supprime le risque immédiat, avant même que l'automatisation soit terminée. Un projet incluant une PKI privée demande quatre à sept mois.
Pas sous ce nom. Mais l'article 21 impose une politique de cryptographie documentée et un contrôle des accès et des actifs — ce qui suppose de savoir quels certificats existent, où, avec quelles échéances. En pratique, **l'inventaire des certificats est l'une des premières pièces demandées en audit**, et l'une de celles que la plupart des organisations ne peuvent pas produire. Le sujet est détaillé dans notre analyse des obligations de chiffrement.
Par la **découverte**. Tant que vous ne savez pas combien de certificats existent réellement dans votre système d'information, aucune décision n'est fondée — et l'expérience montre que l'écart entre le nombre supposé et le nombre réel dépasse souvent 30 %. Deux à trois semaines suffisent pour établir cet inventaire, qui reste utile quelle que soit la suite donnée au projet.
Sources
Page publiée le 5 août 2026 par Erwan Nguyen, Director chez Zivyx Quantum (Paris, France). Le calendrier SC-081v3 est stable ; les pratiques des autorités de certification évoluent en revanche plus vite que le texte — plusieurs d'entre elles émettent déjà en deçà des plafonds réglementaires. Nous mettons cette page à jour à chaque évolution significative.
- CA/Browser Forum, ballot SC-081v3 « Introduce Schedule of Reducing Validity and Data Reuse Periods », adopté en avril 2025 — cabforum.org
- CA/Browser Forum, Baseline Requirements for TLS Server Certificates — dispositions relatives à l'émission non conforme et à la révocation
- NIST IR 8547, calendrier de transition post-quantique : dépréciation après 2030, interdiction après 2035
- ANSSI — recommandations sur l'hybridation et calendrier des certifications post-quantiques
Poursuivre la lecture
Les pages qui prolongent celle-ci
Le projet Migration quantum-safe \\ Inventaire CBOM, priorisation, architecture cible, pilote mesuré et déploiement par vagues. Le prolongement direct de votre inventaire de certificats. Technique Cryptographie post-quantique \\ Algorithmes NIST, tailles de signatures, impact sur les chaînes de certificats et crypto-agilité. Ce qui attend votre PKI après 2030. Le socle Protection des données en entreprise \\ Chiffrement au repos et en transit, gestion des clés, contrôle d'accès, sauvegardes immuables et journalisation probante. Secteur Banque & assurance \\ PKI interne, certificats à durée longue, HSM et archives probantes. Le secteur où le parc de certificats est le plus étendu. Secteur SaaS & startups \\ Terminaisons TLS multiples, API, environnements éphémères et questionnaires sécurité clients. Le CLM y est une exigence contractuelle. Référence FAQ en 40 questions \\ Menace quantique, algorithmes, migration, conformité et tarifs : le tour complet du sujet, avec moteur de recherche.
Prochaine étape
Combien de certificats avez-vous vraiment ?
Zivyx Quantum établit l'inventaire complet de vos certificats, identifie ceux qui tomberont dans les quatre-vingt-dix jours et vous remet un plan d'automatisation chiffré. Deux à trois semaines, devis sous 48 heures.
admin@zivyx.fr · +33 6 12 37 99 16
Notre champ d'expertise
Gestion des certificats et automatisation
Zivyx Quantum installe, automatise et supervise la gestion du cycle de vie des certificats pour les PME, ETI, établissements financiers et opérateurs publics de France, Belgique, Suisse et Luxembourg.
gestion du cycle de vie des certificatsCLMcertificate lifecycle managementinventaire des certificats TLSdécouverte de certificatssupervision des échéancespanne certificat expiréexpiration certificat SSLrenouvellement automatique des certificatsautomatisation ACMEprotocole ACMEprotocole ESTprotocole SCEPSC-081v3CA/Browser Forumvalidité 47 jourscertificat TLS 200 jourscertificat 100 jours 2027durée de vie certificat SSLBaseline RequirementsPKI interneautorité de certification privéePKI privée mTLSchaîne de certificatscertificat wildcardcertificat OV EV DVrévocation de certificatclé privéerotation des clésproxy inverse terminaison TLSnginx HAProxy certificatcertificats hybrides post-quantiquescrypto-agilitéCBOM inventaire cryptographiqueconformité NIS2 certificatspolitique de certificatsaudit certificats entreprise
© 2026 Zivyx Chiffrement Quantique. All Rights Reserved