Utiliser les certificats SSL de Let's Encrypt? Vous devez vérifier votre configuration

Let's Encrypt, la populaire Autorité de certificat SSL, est sur le point d'arrêter d'envoyer des e-mails pour l'expiration des certificats. Si vous avez un serveur utilisant Let's Encrypt, vous devrez utiliser des automatisations pour suivre les renouvellements de certificat ou configurer un service de surveillance alternatif.

Let's Encrypt fournit des certificats SSL gratuits pour les hôtes et les serveurs Web, permettant à des pages et à d'autres contenus d'être servis sur des HTTP sécurisés. C'est une solution populaire pour tout, des principaux éditeurs à DIY HomeLabs, y compris ce site Web. Let's Encrypt a un outil de ligne de commande pour configurer des certificats sur un serveur, mais de nombreux fournisseurs d'hébergement s'occupent de cette partie pour vous.

La configuration d'un certificat Let's Encrypt nécessitait précédemment une adresse e-mail, que le service utiliserait pour envoyer des e-mails de rappel (comme indiqué ci-dessous) sur les certificats expirés. Comme tous les autres certificats SSL, ils doivent être renouvelés de temps en temps, ou ils cessent de fonctionner.

Let's Encrypt a annoncé en janvier qu'il mettait fin aux e-mails de notification pour les expirations de certificat, et le service est sur le point de fermer: les e-mails finaux seront envoyés le 4 juin 2025. Si vous avez encore besoin de notifications pour les certificats à expiration, Let’s Encrypt recommande Red Sift Certificates Lite et d'autres services. La surveillance gratuite de Red Sift prend en charge jusqu'à 250 certificats, ce qui devrait être plus que suffisant pour la plupart des gens.

Le billet de blog sur la fermeture explique: «La fourniture de notifications d'expiration ajoute de la complexité à notre infrastructure, qui prend du temps et de l'attention pour gérer et augmenter la probabilité que les erreurs soient commises. À long terme, en particulier lorsque nous ajoutons le support pour les nouveaux composants de service, nous devons gérer la complexité globale en supprimant les composants du système qui ne peuvent pas être justifiés.»

Let's Encrypt a également mentionné que «de plus en plus de nos abonnés ont pu mettre en place une automatisation fiable pour le renouvellement des certificats», afin que les notifications par e-mail ne soient pas aussi importantes de nos jours. Il est vrai que la plupart des serveurs et des fournisseurs d'hébergement qui utilisent les certificats de Let's Encrypt ont un renouvellement automatique, mais les e-mails d'expiration étaient toujours utiles chaque fois que ces automatisations échouaient pour une raison quelconque.

Le billet de blog a mentionné que la collecte de millions d'adresses e-mail est un risque de confidentialité, et la suppression du système de notification par e-mail signifie que le rendement ne aura pas besoin de demander des adresses e-mail. Le service coûte également «des dizaines de milliers de dollars par an», ce qui préfère dépenser pour d'autres coûts d'infrastructure.

Si vous avez un serveur utilisant des certificats Let's Encrypt, c'est le moment idéal pour vérifier que vous avez une configuration d'automatisation ouvrière pour renouveler périodiquement vos certificats. Par exemple, si vous utilisez l'outil officiel de ligne de commande CERTBOT, vous pouvez configurer un travail CRON pour l'exécuter quotidiennement ou chaque semaine pour d'éventuels renouvellements. Si vous utilisez un conteneur Docker préconfiguré ou une autre configuration similaire, il pourrait déjà exécuter des renouvellements sur un calendrier fixe.