Un certificat Let’s Encrypt permet de chiffrer les échanges entre un navigateur et votre serveur. Son installation ne suffit pas à sécuriser tout le site : il faut aussi contrôler la configuration HTTPS et le renouvellement automatique.
Ces vérifications prolongent les principes de protection par HTTPS et TLS et doivent faire partie de la maintenance régulière du site.
Préparer le domaine et le serveur
Vérifiez que les enregistrements DNS du domaine pointent vers le serveur attendu, y compris en IPv6 si vous publiez un enregistrement AAAA. Le serveur web doit répondre pour chacun des noms demandés. Une validation HTTP-01 nécessite un accès public au port 80 ; une validation DNS-01 repose sur un enregistrement DNS et convient notamment aux certificats wildcard.
Sur un hébergement mutualisé, utilisez d’abord l’activation HTTPS proposée par l’hébergeur. Sur un serveur administré, choisissez la méthode d’installation de Certbot adaptée au système et au serveur web. Évitez de mélanger plusieurs installations de Certbot.
Obtenir le certificat avec Certbot
Une fois Certbot et son module Nginx ou Apache installés, contrôlez la configuration avant de demander le certificat. Les exemples suivants utilisent des noms fictifs à remplacer par vos domaines. Choisissez une seule des deux commandes d’émission selon votre serveur.
sudo nginx -t
sudo certbot --nginx -d exemple.ch -d www.exemple.chsudo apache2ctl configtest
sudo certbot --apache -d exemple.ch -d www.exemple.chCertbot vous guide pour renseigner une adresse de contact et accepter les conditions du service. Vérifiez ensuite que la redirection HTTP vers HTTPS correspond au domaine canonique choisi et conserve les chemins.
Contrôler le renouvellement
Les certificats ont une durée limitée : ne fondez pas la maintenance sur une date saisie une seule fois. L’installation doit prévoir une tâche de renouvellement et, lorsque nécessaire, le rechargement du serveur après un renouvellement réussi.
sudo certbot certificates
sudo certbot renew --dry-runLe test à blanc permet de contrôler la procédure de renouvellement ; il ne remplace pas une surveillance du certificat réellement présenté aux visiteurs. Contrôlez aussi les journaux et la tâche planifiée de votre installation.
Vérifier ce que reçoit le navigateur
Ouvrez le site en HTTPS, contrôlez le nom couvert, la date d’expiration et la chaîne de certification. Recherchez les ressources encore chargées en HTTP et testez les deux variantes du domaine si vous utilisez www et sans www. Un outil d’analyse TLS peut compléter ce contrôle, sans garantir à lui seul la sécurité de l’application.
Éviter les réglages automatiques mal compris
N’ajoutez pas une longue liste de suites cryptographiques ou d’en-têtes sans vérifier leur compatibilité avec votre serveur. Activez HSTS seulement après avoir confirmé que HTTPS fonctionne durablement ; ses effets peuvent persister dans les navigateurs.
Let’s Encrypt a arrêté son service OCSP en 2025. Une ancienne configuration de stapling OCSP ne doit donc plus être présentée comme une étape obligatoire pour ces certificats. Gardez les clés privées protégées, maintenez le serveur à jour et surveillez les échecs de renouvellement.