HTTPS – Expiration des certificats TLS : Let’s Encrypt cesse les notifications par e-mail !
Let's Encrypt a annoncé un changement important pour son service : la fin des notifications par e-mail pour vous avertir de l'expiration de certificats TLS. Une décision motivée par la hausse des coûts et les préoccupations liées à la confidentialité des données. C'est aussi un message envoyé aux administrateurs : l'automatisation n'est plus une option, c'est une nécessité.
Pour rappel, Let's Encrypt est une autorité de certification publique à but non lucratif. Elle présente l'énorme avantage de permettre l'obtention d'un certificat TLS, pour sécuriser un site web en HTTPS, par exemple, de façon totalement gratuite. Résultat, aujourd'hui, Let's Encrypt délivre des centaines de millions de certificats TLS pour des milliards de sites web... C'est devenu un acteur important de la sécurisation du web, car le HTTPS est accessible à tous grâce à ce projet.
Transparente et soucieuse de minimiser la rétention des données, l'organisation bénéficie du soutien de géants de la technologie comme Google, Cisco, Mozilla, l'EFF, Facebook et Akamai. Ses certificats racines sont intégrés dans les principaux navigateurs et systèmes d'exploitation, ce qui permet aux certificats délivrés d'être reconnus.
Let's Encrypt : plus de notifications depuis le 4 juin 2025
Depuis le 4 juin 2025, Let's Encrypt a mis fin à l'envoi des notifications par e-mail. Pour autant, cette information a été relayée officiellement le jeudi 26 juin 2025 sur le blog officiel du projet. Plusieurs raisons sont évoquées pour justifier l'arrêt des notifications par e-mail.
La première raison, c'est l'automatisation, notamment grâce à une adoption généralisée du protocole ACME (Automatic Certificate Management Environment). Ce protocole, conçu par l'Internet Security Research Group (ISRG), l'organisation mère de Let's Encrypt, permet aux machines d'automatiser l'émission, l'installation et le renouvellement des certificats avec une intervention humaine minimale, voire inexistante. Ainsi, vous n'avez pas à vous soucier du renouvellement de votre certificat, car cette opération est automatisée.
Cette transition vers l'automatisation est d'autant plus pertinente que les normes évoluent. Le Forum CA/Browser, instance qui réunit les autorités de certification et les éditeurs de navigateurs, a récemment annoncé une réduction significative de la durée de vie des certificats à seulement 47 jours d'ici 2029. Cette contrainte rend la gestion manuelle impraticable... incitant fortement à l'adoption de solutions automatisées pour la gestion des certificats.
Coûts et confidentialité : d'autres facteurs clés
Au-delà de l'automatisation, le coût de fonctionnement du service de notification par e-mail est estimé par Let's Encrypt à "des dizaines de milliers de dollars par an". Une somme que l'organisation estime pouvoir allouer de manière plus bénéfique à d'autres aspects de son infrastructure.
Let's Encrypt explique : "Fournir des notifications d'expiration ajoute de la complexité à notre infrastructure, ce qui prend du temps et de l'attention à gérer et augmente la probabilité d'erreurs." - Let's Encrypt souhaite supprimer, progressivement, les composants système dont la présence ne peut plus être justifiée.
Enfin, la confidentialité des données des utilisateurs est également au cœur de cette décision. En effet, pour pouvoir envoyer les notifications, Let's Encrypt devait conserver, gérer et protéger une base de données conséquente d'adresses e-mail.
"L'envoi de courriels de notification d'expiration signifie que nous devons conserver des millions d'adresses électroniques liées aux dossiers d'émission. En tant qu'organisation attachant de l'importance à la protection de la vie privée, il est important pour nous de supprimer cette exigence.", peut-on lire sur le site de Let's Encrypt.
Désormais, il est impératif de passer sur un mode de fonctionnement prenant en charge le protocole ACME (le client Certbot, par exemple) et de ne plus dépendre des notifications par e-mail de Let's Encrypt. Si vous souhaitez obtenir des alertes par e-mail, vous devez trouver un autre moyen de surveiller l'expiration de vos certificats (avec une solution de supervision, par exemple).
Qu'en pensez-vous ?
Nginx Proxy Manager / Caddy, un petit monitoring avec uptime kuma en activant le check des certificats et le tour est joué, des années que je ne reçois plus d’alertes, hormis quand j’ai arrêté d’utiliser un domaine ou sous domaine donc totalement normal :).