L'équipe de Let's Encrypt a confirmé le 10 novembre à 22:02 UTC que l'API de production utilise désormais 6 emplacements de validation distants. Chaque validation de domaine donne maintenant lieu à 7 requêtes au total : 1 depuis le centre de données principal et 6 depuis des emplacements distants, contre 4 emplacements distants auparavant. La validation ne réussit que si le centre de données principal et le nombre requis d'emplacements distants reçoivent tous la bonne réponse. Le changement avait été annoncé le 15 octobre et mis en service dans l'environnement de staging le 27 octobre. Let's Encrypt s'attend à un impact faible, voire nul, pour les utilisateurs, mais quelques types de configuration méritent d'être vérifiés à l'avance.

Pourquoi davantage d'emplacements

Valider simultanément depuis plusieurs emplacements réseau vise à empêcher un attaquant de recourir à un détournement BGP pour attirer à lui le trafic de validation et obtenir un certificat pour le domaine d'autrui. Let's Encrypt procède ainsi depuis 2020, et l'augmentation découle d'un durcissement des règles du secteur : la section 3.2.2.9 des Baseline Requirements du CA/Browser Forum prévoit qu'à partir du 15 décembre 2026, une autorité de certification doit valider depuis au moins 5 emplacements réseau distants, répartis dans les zones de service d'au moins 2 registres Internet régionaux différents, faute de quoi elle ne doit pas émettre le certificat. Les autres autorités de certification procéderont donc à des changements similaires.

Les configurations dont le renouvellement peut désormais échouer

  • Les règles de pare-feu et de CDN qui bloquent les visiteurs par pays ou par région. Les requêtes de validation proviennent désormais de davantage de régions, et la validation échoue dès que suffisamment d'emplacements sont bloqués. Let's Encrypt ne publie pas les adresses IP depuis lesquelles il valide et précise qu'elles peuvent changer à tout moment : une liste d'autorisation ne fonctionnera donc pas ; l'approche fiable consiste à laisser le chemin /.well-known/acme-challenge/ ouvert au monde entier. La validation HTTP-01 utilise le port 80 et suit les redirections vers le port 80 ou 443.
  • Les DNS faisant autorité qui ne répondent qu'à certaines régions, par exemple une résolution géographique ou un pare-feu DNS assorti de restrictions régionales. La validation DNS-01 exige que l'enregistrement TXT soit visible depuis chaque emplacement, et la validation HTTP-01 commence elle aussi par résoudre le domaine : elle est donc touchée de la même manière.
  • Les groupes de sécurité ou les pare-feu qui ne laissent que « quelques IP connues » atteindre le port 80. La raison est la même que pour le premier point : les sources de validation ne sont ni fixes ni publiées.

Comment tester à l'avance

L'environnement de staging utilise 6 emplacements distants depuis le 27 octobre, et le mode dry-run de certbot s'adresse précisément à cet environnement : exécuter une fois sudo certbot renew --dry-run sur le serveur vous indique donc si le renouvellement fonctionne avec la nouvelle validation. En cas d'échec, l'erreur nomme le domaine et le type de validation qui n'a pas abouti ; confrontez-la aux trois points ci-dessus. Autre raison de vérifier maintenant : les renouvellements vont devenir plus fréquents. La durée de vie par défaut des certificats Let's Encrypt passera à 64 jours le 10 février 2027, comme l'explique cet article, et les certificats de courte durée de 6 jours sont présentés dans celui-ci. L'émission et le renouvellement automatique des certificats sont expliqués dans notre tutoriel pour configurer un certificat SSL Let's Encrypt ; si vous avez défini des règles de blocage par pays dans Cloudflare, pensez à ajouter une exception pour le chemin de validation ; les bases de Cloudflare sont ici.