Avant Let’s Encrypt, un certificat coûtait de l’argent et s’installait à la main, ce qui laissait beaucoup de sites en HTTP. L’autorité, ouverte au public en 2015, a rendu le certificat TLS gratuit et surtout automatique : la plupart des hébergeurs l’activent en un clic, et le renouvellement se fait sans intervention.
Comment fonctionne Let’s Encrypt
Let’s Encrypt délivre uniquement des certificats à validation de domaine : il vérifie que vous contrôlez le nom, pas l’identité de votre entreprise. Le dialogue passe par le protocole ACME, normalisé par l’IETF, qu’implémentent Certbot et de nombreux autres clients, ainsi que les panneaux d’hébergement. Le client crée une clé, demande un certificat, relève un défi qui prouve le contrôle du domaine, puis installe le certificat dans le serveur web.
Les trois défis
- HTTP-01 : le client publie un fichier sous
/.well-known/acme-challenge/, que Let’s Encrypt télécharge sur le port 80 uniquement. Les redirections sont suivies, jusqu’à dix. C’est le défi le plus courant, mais il ne permet pas les certificats wildcard. - DNS-01 : le client crée un enregistrement TXT
_acme-challengedans la zone DNS. Il est obligatoire pour un certificat wildcard (*.exemple.fr) et fonctionne même si le serveur n’est pas joignable, au prix d’identifiants d’API DNS à stocker sur le serveur. - TLS-ALPN-01 : une vérification sur le port 443, pensée pour les proxys et les grands hébergeurs, que Let’s Encrypt juge inadaptée à la plupart des utilisateurs.
Une durée de vie qui raccourcit
Les certificats par défaut sont valables 90 jours, et un profil optionnel délivre des certificats de six jours. Let’s Encrypt a annoncé une réduction progressive, alignée sur les exigences du CA/Browser Forum : depuis le 13 mai 2026, le profil optionnel tlsserver délivre des certificats de 45 jours ; le 10 février 2027, le profil par défaut passera à 64 jours ; le 16 février 2028, il passera à 45 jours. Un renouvellement réglé en dur tous les 60 jours ne suffira donc plus : l’autorité recommande ACME Renewal Information (ARI), ou à défaut un renouvellement aux deux tiers de la durée de vie.
Pour WordPress
- Laissez l’hébergeur ou le client ACME renouveler : le renouvellement manuel devient intenable avec des durées plus courtes. Sur un serveur que vous administrez, le client tourne par une tâche planifiée ou un cron ; surveillez l’expiration pour être averti en cas d’échec.
- Ne bloquez pas /.well-known/ : une règle de sécurité trop large, une redirection vers une page de connexion ou une restriction d’accès sur ce dossier fait échouer HTTP-01.
- Après l’installation, passez les adresses du site en https, corrigez le contenu mixte et envisagez HSTS : notre guide HTTPS sur WordPress détaille chaque étape, et l’article sur ce que Google prend en compte en mesure l’effet sur le référencement.
Le certificat chiffre la connexion, il ne protège pas WordPress lui-même : un site en HTTPS peut être piraté comme un autre.