← Namini Solutions Cours PKI
COURS · RENOUVELLEMENT ACME EN 7 LEÇONS

Leçon 1 / 7

Pourquoi automatiser devient incontournable

Pendant longtemps, un certificat TLS public pouvait rester valable jusqu'à 398 jours. Un renouvellement annuel, géré manuellement, restait supportable.

Le CA/Browser Forum — l'organisme réunissant autorités de certification et éditeurs de navigateurs (Apple, Google, Mozilla, Microsoft) — a voté en 2025 une réduction progressive de cette durée maximale :

DateDurée de vie maximale
Jusqu'au 15/03/2026398 jours
À partir du 15/03/2026200 jours
À partir du 15/03/2027100 jours
À partir du 15/03/202947 jours

L'objectif affiché : réduire la fenêtre d'exposition en cas de clé compromise ou d'informations de validation obsolètes. Mais la conséquence directe est claire : avec des certificats valables un mois environ, le renouvellement manuel devient intenable. C'est précisément le problème que le protocole ACME a été conçu pour résoudre.

Leçon 2 / 7

Qu'est-ce qu'ACME ?

ACME (Automatic Certificate Management Environment) est un protocole standardisé qui permet à un serveur de demander, renouveler et révoquer automatiquement ses certificats auprès d'une autorité de certification, sans intervention humaine.

Plutôt que de faire la queue en préfecture à chaque renouvellement de carte d'identité, imaginez un guichet automatique qui vérifie votre identité et vous délivre une nouvelle carte tout seul, avant même que l'ancienne n'expire.

ACME a été popularisé par Let's Encrypt, mais c'est aujourd'hui un standard ouvert (RFC 8555) supporté par la plupart des autorités de certification publiques et par de nombreuses plateformes de gestion de certificats.

Leçon 3 / 7

Prouver le contrôle du domaine

Avant de délivrer un certificat, une CA doit vérifier que le demandeur contrôle bien le domaine concerné. ACME automatise cette vérification via des challenges :

  • HTTP-01 — la CA demande au serveur de déposer un fichier précis, accessible à une URL donnée
  • DNS-01 — la CA demande la création d'un enregistrement TXT spécifique dans la zone DNS du domaine
  • TLS-ALPN-01 — la preuve est apportée directement via une extension du protocole TLS, sans exposer de fichier public

Le choix du challenge dépend souvent de l'infrastructure : DNS-01 est notamment le seul moyen de valider des certificats wildcard (*.exemple.com).

Leçon 4 / 7

Le flux ACME étape par étape

Concrètement, une émission ou un renouvellement via ACME suit cette séquence :

1. Le client ACME s'enregistre auprès de la CA (compte + clé de compte) 2. Le client demande un certificat pour un ou plusieurs domaines 3. La CA propose un challenge (HTTP-01, DNS-01...) 4. Le client dépose la preuve demandée 5. La CA vérifie la preuve 6. Le client envoie une CSR (demande de signature) 7. La CA signe et renvoie le certificat

Tout ce processus, qui prenait auparavant plusieurs échanges manuels avec une CA, se déroule ici en quelques secondes, de façon scriptée et reproductible.

Leçon 5 / 7

Automatiser en pratique

Plusieurs clients ACME permettent d'implémenter ce flux sans écrire le protocole soi-même :

  • Certbot — le client historique, simple à utiliser sur un serveur unique
  • acme.sh — un script shell léger, sans dépendance lourde
  • lego — une bibliothèque et un client en Go, souvent intégré dans des pipelines

Ces outils programment aussi le renouvellement : un certificat est typiquement renouvelé automatiquement lorsqu'il atteint environ un tiers de sa durée de vie restante, bien avant son expiration.

Leçon 6 / 7

ACME et la gestion centralisée (CLM)

Pour une poignée de serveurs, un client ACME en ligne de commande suffit. Mais à l'échelle d'une entreprise, avec des centaines ou des milliers de certificats répartis sur des serveurs, des équilibreurs de charge, des conteneurs et des objets IoT, il faut une vision centralisée.

C'est le rôle des plateformes de Certificate Lifecycle Management (CLM) comme Keyfactor, DigiCert ONE ou Horizon d'EverTrust : elles orchestrent ACME à grande échelle, découvrent les certificats existants sur le réseau, déclenchent les renouvellements automatiquement, et alertent en cas d'anomalie — un point d'autant plus critique que les cycles se raccourcissent.

EN CHIFFRES Avec des certificats valables 47 jours d'ici 2029, une organisation devra gérer près de 8 cycles de renouvellement par an et par certificat, contre un seul aujourd'hui.

Leçon 7 / 7

Bonnes pratiques pour réussir la transition

Quelques principes pour aborder sereinement la réduction du cycle de vie des certificats :

  • Établir un inventaire complet de tous les certificats existants, y compris ceux émis en dehors des canaux officiels
  • Automatiser le renouvellement avant que les délais ne deviennent contraignants, plutôt que dans l'urgence
  • Privilégier le challenge DNS-01 pour les environnements avec des certificats wildcard ou des serveurs difficiles d'accès publiquement
  • Mettre en place une supervision des échéances, même automatisée — un échec silencieux de renouvellement reste possible

Une question sur la mise en place d'ACME dans votre organisation ? Parlez-en à notre équipe.