Let’s Encrypt : rôle et mise en service

Auteur : Rédaction Domeny.ForSale Publié le 20.09.2026

En bref : Let’s Encrypt est une autorité de certification gratuite qui délivre des certificats permettant d’activer HTTPS sur un site web. Grâce à ces certificats, le navigateur peut vérifier l’identité du serveur pour un domaine donné et établir une connexion chiffrée. Chez de nombreux hébergeurs, il suffit d’activer l’option correspondante dans le panneau d’administration, mais il faut aussi veiller au renouvellement automatique du certificat et à la bonne configuration du site.

À quoi sert un certificat Let’s Encrypt ?

Let’s Encrypt est géré par l’organisation à but non lucratif Internet Security Research Group (ISRG). Il agit comme une autorité de certification, c’est-à-dire un organisme qui délivre des certificats numériques reconnus par les navigateurs et d’autres logiciels. Le certificat associe le nom de domaine à une clé publique utilisée pour sécuriser la connexion.

HTTPS est le protocole HTTP sécurisé par TLS, un mécanisme de chiffrement des communications. Il protège les données transmises contre la lecture ou la modification par des tiers entre le navigateur et le serveur. Cette protection est importante lors de la connexion à un compte, de l’envoi d’un formulaire ou d’une commande, mais aussi lorsqu’on consulte simplement une page.

Les offres d’hébergement utilisent encore l’appellation « certificat SSL ». Elle désigne le plus souvent un certificat utilisé avec TLS, le successeur actuel du protocole obsolète SSL. Vous n’avez pas besoin de chercher un autre produit simplement parce que le panneau de votre hébergeur utilise l’ancienne appellation.

HTTPS ne garantit pas l’honnêteté du propriétaire du site. Un site conçu pour dérober des données peut lui aussi disposer d’un certificat valide. Let’s Encrypt vérifie le contrôle du domaine, et non la fiabilité de la boutique, la sécurité de ses logiciels ou l’identité de l’entreprise.

Comment fonctionnent la délivrance et le renouvellement du certificat ?

Let’s Encrypt délivre des certificats de type DV, pour Domain Validation, c’est-à-dire validation du domaine. Avant la délivrance du certificat, il faut prouver que l’on contrôle le domaine concerné. Le processus repose sur ACME, un protocole permettant aux logiciels de demander et de renouveler automatiquement des certificats.

Les méthodes de vérification les plus courantes sont les suivantes :

HTTP-01 : le logiciel rend un fichier spécifique accessible à une adresse donnée du site. Le serveur de vérification doit pouvoir le récupérer par le port 80.
DNS-01 : un enregistrement TXT spécifique est ajouté au DNS du domaine, le système qui conserve ses paramètres réseau. Cette méthode permet également d’obtenir un certificat générique, dit wildcard, qui couvre les sous-domaines, par exemple *.example.com.

Le certificat wildcard *.example.com couvre par exemple boutique.example.com, mais pas le domaine example.com lui-même ni l’adresse panneau.boutique.example.com. Le domaine principal peut être inclus dans le certificat en tant que nom supplémentaire.

Les certificats ont une durée de validité limitée : le renouvellement automatique est donc au cœur du fonctionnement de Let’s Encrypt. Il ne faut pas compter sur un simple rappel dans un calendrier pour les gérer. Consultez la documentation officielle de Let’s Encrypt pour vérifier les durées de validité actuelles, les profils de certificats disponibles et les limites de délivrance. Vous pouvez également consulter les détails d’un certificat pour connaître sa date d’expiration.

Comment activer Let’s Encrypt sur votre site ?

Sur un hébergement mutualisé, commencez par le panneau d’administration. Cherchez une rubrique « SSL », « TLS », « HTTPS » ou « Let’s Encrypt ». Vérifiez que le service comprend la délivrance, l’installation et le renouvellement automatique du certificat : les prestations incluses dépendent du fournisseur.

Par exemple, si votre blog est accessible à l’adresse example.com et que www.example.com redirige vers ce blog, le certificat doit couvrir les deux noms. Le navigateur établit d’abord une connexion HTTPS avec l’adresse initiale, puis reçoit la redirection.

Voici les étapes pratiques de mise en service :

Vérifiez que le domaine et les sous-domaines utilisés pointent vers le bon serveur.
Activez le certificat pour tous les noms auxquels le site doit être accessible.
Ouvrez le site via https:// et testez les formulaires, la connexion aux comptes et les ressources du site.
Définissez l’adresse en HTTPS comme adresse principale dans le système de gestion de contenu et configurez la redirection depuis HTTP.
Vérifiez le fonctionnement du renouvellement automatique et des notifications d’erreur.

Sur votre propre serveur, vous pouvez utiliser un client ACME, comme Certbot, ou un serveur web prenant directement en charge ACME. Les commandes à exécuter dépendent du système d’exploitation et de la configuration. Si vous automatisez la vérification DNS, limitez les permissions associées aux identifiants d’accès au DNS et protégez ces identifiants contre toute divulgation.

Un certificat gratuit suffit-il pour une boutique ou un site d’entreprise ?

Pour un blog, un site d’entreprise ou une boutique en ligne classique, Let’s Encrypt suffit généralement à sécuriser la connexion HTTPS. Un certificat gratuit n’implique pas, par définition, un chiffrement moins robuste. La sécurité dépend aussi de la configuration de TLS, de la protection de la clé privée et du maintien à jour du serveur.

Un certificat payant peut être pertinent si vous avez besoin de faire vérifier les informations de votre organisation, de bénéficier d’une assistance particulière du fournisseur ou de respecter des exigences contractuelles. Les certificats OV et EV comprennent une vérification supplémentaire de l’organisation ; Let’s Encrypt n’en délivre pas. Acheter un certificat ne protège pas, à lui seul, une application contre les intrusions.

La délivrance des certificats par Let’s Encrypt est gratuite, mais l’hébergeur peut facturer leur gestion. Avant de choisir un service, vérifiez les tarifs et les conditions du fournisseur, notamment les frais d’installation et de renouvellement.

Que vérifier lorsque HTTPS ne fonctionne pas correctement ?

Un avertissement du navigateur peut être dû à l’expiration du certificat, à l’absence du nom de domaine concerné dans le certificat ou à une configuration incomplète des certificats sur le serveur. Après un changement d’hébergement, assurez-vous que le nouveau serveur renouvelle lui aussi le certificat : l’automatisation sur l’ancien serveur ne s’en charge pas à sa place.

Un autre problème est le contenu mixte, ou mixed content : des ressources sont chargées via HTTP sur une page ouverte en HTTPS. Il peut s’agir, par exemple, d’images, de scripts ou de feuilles de style. Le navigateur peut bloquer ces ressources ; il faut alors corriger leurs adresses dans le contenu, le modèle de page ou les paramètres de l’application.

Après avoir activé HTTPS, vérifiez non seulement la page d’accueil, mais aussi le formulaire de contact, la page de connexion et le parcours d’achat. Enfin, activez une surveillance de la date d’expiration du certificat afin qu’un échec du renouvellement ne passe pas inaperçu.