Guides

Certificats TLS à la main ? En 2026, c’est terminé

La gestion manuelle des certificats TLS devient obsolète. Depuis juillet 2026, AWS Certificate Manager prend en charge le protocole ACME, une…

Par Alec Chizhik 18 juillet 2026 5 min de lecture

Certificats TLS à la main ? En 2026, c’est terminé

Un certificat TLS périmé paralyse un site web tout autant qu’une panne de serveur, mais de manière plus gênante, car cela aurait pu être évité. Depuis juillet 2026, l’AWS Certificate Manager prend en charge le protocole ACME pour les certificats publics. AWS comble ainsi une lacune que Let’s Encrypt occupe depuis des années. Le travail manuel sur les certificats devient définitivement superflu.

Les points clés en bref

ACME sur AWS. Depuis juillet 2026, l’AWS Certificate Manager émet et renouvelle automatiquement des certificats publics via ACME.
Validité de 45 jours. Les nouveaux certificats sont valables 45 jours. Le CA/Browser Forum impose désormais des durées de validité courtes comme standard.
Kubernetes fonctionne automatiquement. Le workflow de renouvellement s’applique via le Cert-Manager, éliminant tout travail manuel.
Consolidation pour les PME. Les entreprises fortement ancrées sur AWS peuvent gérer leurs certificats publics et internes via une seule méthode.

Ce qui est désormais possible concrètement

Le Certificate Manager propose un endpoint ACME entièrement géré, qui délivre des certificats TLS publics émis par Amazon Trust Services. La demande et le renouvellement s’effectuent automatiquement via tout client compatible ACMEv2. Cela inclut les outils habituels : Certbot pour les serveurs classiques, cert-manager pour Kubernetes et acme.sh pour les configurations légères. Cette fonction est disponible dans toutes les régions commerciales d’AWS.

La différence majeure par rapport aux certificats ACM précédents réside dans le workflow. Auparavant, les certificats ACM étaient étroitement liés à des services AWS comme le Load Balancer. Grâce à ACME, ces certificats peuvent désormais être déployés sur n’importe quelle charge de travail, y compris en dehors de l’écosystème AWS, avec le même automatisme que celui connu par les administrateurs de Let’s Encrypt.

Pourquoi des durées de validité courtes changent tout

Les certificats émis via ACME sont valables 45 jours, une durée bien plus courte que les périodes de validité habituelles. Cette mesure s’inscrit dans une tendance sectorielle. Le CA/Browser Forum a décidé de réduire la validité maximale des certificats publics à 47 jours d’ici 2029 (contre 398 jours auparavant). La première étape de cette réduction est déjà en vigueur depuis mars 2026.

L’effet est simple et implacable. Un certificat expirant toutes les quelques semaines ne peut plus être géré manuellement. En 2026, ceux qui utilisent encore des rappels manuels pour le renouvellement des certificats ne survivront pas à cette réduction sans qu’un jour, un site important ne tombe en panne à cause d’une erreur de certificat. L’automatisation n’est plus une option, c’est une obligation.

Le workflow pour les équipes Kubernetes

Les utilisateurs de Kubernetes connaissent cert-manager comme solution standard pour la gestion des certificats. Avec l’endpoint ACME d’ACM, il est possible d’intégrer Amazon Trust Services comme autorité de certification, sans modifier le processus habituel. Un Issuer est configuré, cert-manager demande les certificats, les renouvelle automatiquement avant leur expiration et les stocke sous forme de Secret. L’équipe ne remarque même pas les 45 jours, car le renouvellement s’effectue en arrière-plan.

Le gain pratique réside dans la consolidation. Ceux qui utilisaient auparavant Let’s Encrypt pour les certificats publics et ACM pour les services internes AWS peuvent désormais tout gérer via une seule méthode. Moins d’outils signifie moins de sources d’erreurs et moins de connaissances dépendantes d’une seule personne.

Ce qu’une équipe de PME devrait mettre en place

La première étape consiste à inventorier les certificats. Quels certificats publics sont utilisés, où sont-ils déployés et qui les renouvelle aujourd’hui ? La réponse se trouve souvent dans la tête d’une personne plutôt que dans un système. Cette dépendance silencieuse devient un risque lorsque les durées de validité raccourcissent.

Ensuite, il faut passer à un émetteur automatisé. Pour Kubernetes, cela passe par cert-manager avec l’endpoint ACME d’ACM ; pour les serveurs classiques, par Certbot ou acme.sh. Il est essentiel de surveiller le renouvellement et de configurer une alerte en cas d’échec. L’automatisation sans monitoring ne fait que déplacer le problème au lieu de le résoudre.

Un standard s’impose

Le fait qu’AWS, dernier grand fournisseur en lice, adopte ACME n’est pas un aveu de retard, mais un signal fort. Le protocole ACME est désormais un standard établi, interopérable et bien maîtrisé. Aujourd’hui, quiconque automatise la gestion de certificats devrait se tourner vers cette solution plutôt que vers des méthodes propriétaires, qui devront être révisées demain.

La réduction des durées de validité rend ce sujet incontournable pour quiconque exploite un site web ou une API. Bonne nouvelle : les outils sont matures, gratuits et configurables en une après-midi. Il n’y a plus aucune raison valable de gérer manuellement ses certificats.

Foire aux questions

Qu’est-ce que le protocole ACME ?

ACME signifie Automatic Certificate Management Environment et est un protocole standardisé permettant de demander, valider et renouveler automatiquement des certificats TLS. Il s’est fait connaître grâce à Let’s Encrypt. Depuis juillet 2026, le AWS Certificate Manager prend également en charge ACME pour les certificats publics.

Quelle est la durée de validité des certificats ACME d’ACM ?

Les certificats délivrés via le point de terminaison ACME ont une validité de 45 jours. C’est plus court que les certificats ACM précédents et s’aligne sur les directives sectorielles qui réduisent la durée maximale des certificats publics à 47 jours d’ici 2029.

Quels clients sont compatibles avec le point de terminaison ACM-ACME ?

Tous les clients compatibles ACMEv2. En pratique, cela concerne principalement Certbot pour les serveurs classiques, cert-manager pour Kubernetes et acme.sh pour les environnements légers. Cette fonctionnalité est disponible dans toutes les régions commerciales AWS.

Pourquoi les durées de validité des certificats sont-elles raccourcies ?

Des durées plus courtes limitent les dommages en cas de compromission d’une clé privée et imposent une automatisation rigoureuse. Le forum CA/Browser a progressivement réduit la durée maximale de validité de 398 jours à 47 jours d’ici 2029, la première étape étant entrée en vigueur en mars 2026.

Dois-je migrer de Let’s Encrypt vers ACM ?

Non, il s’agit d’une option facultative. L’avantage réside dans la centralisation si vous utilisez déjà fortement AWS et souhaitez gérer à la fois les certificats publics et internes via une seule méthode. Les deux utilisent le même protocole ACME, ce qui rend la migration techniquement simple.