Le 15 janvier 2026, Let's Encrypt a annoncé que les certificats courts de 6 jours et les certificats d'adresse IP sont désormais disponibles pour tous. Ces certificats sont valables 160 heures — un peu plus de six jours — et se demandent via le mécanisme de profils de certificats ACME, avec le profil nommé shortlived. Ce n'est plus une expérimentation : chaque abonné y a accès.

Pourquoi des certificats aussi courts

L'intérêt des certificats de courte durée est de cesser de dépendre de la révocation. Traditionnellement, en cas de fuite de clé privée, on comptait sur OCSP ou les CRL pour signaler aux navigateurs que le certificat était mort — une chaîne peu fiable en pratique. Si un certificat ne vit que six jours, la fenêtre d'exposition est réduite par construction ; c'est pourquoi les certificats de 6 jours de Let's Encrypt n'embarquent aucune URL OCSP ni CRL.

La tendance va plus loin. En décembre 2025, Let's Encrypt a publié son plan de réduction de la durée de validité par défaut, de 90 jours vers 45. Tout le secteur s'oriente vers du plus court et du plus automatisé, traitant les certificats comme des identifiants fréquemment renouvelés plutôt que comme des actifs à renouveler une fois par an.

Trois conséquences concrètes pour l'exploitation

  • Le renouvellement manuel, c'est terminé : les certificats de 6 jours doivent être renouvelés tous les deux à trois jours, et la recommandation est d'exécuter votre client au moins une fois par jour. Tout processus reposant sur la mémoire de quelqu'un finira par échouer.
  • Les échecs de renouvellement doivent alerter : avec des certificats de 90 jours, un échec laisse des semaines de marge. Avec 6 jours, il vous reste quelques dizaines d'heures. Une tâche cron qui échoue en silence signifie une coupure.
  • Les rechargements doivent suivre le rythme : Nginx ou Apache doit reprendre le nouveau certificat après chaque renouvellement. Branchez le rechargement via un --deploy-hook ou un timer systemd plutôt que de redémarrer à la main.

Une approche pragmatique

  • Tous les sites n'ont pas besoin de certificats de 6 jours : pour un site ordinaire, le profil par défaut et une automatisation qui fonctionne suffisent amplement. Les vrais bénéficiaires sont les environnements où le risque d'exposition des clés est élevé ou le délai de révocation inacceptable.
  • Fiabilisez l'automatisation avant de raccourcir le cycle : vérifiez que le timer de certbot ou d'acme.sh tourne, que les journaux de renouvellement existent et que les échecs vous notifient — puis envisagez de basculer sur le profil shortlived.
  • Laissez ARI choisir le moment : les clients modernes prennent en charge ACME Renewal Information, où l'autorité de certification indique quand renouveler. C'est plus robuste qu'un nombre de jours figé.
  • Les certificats d'IP comblent un manque ancien : servir du HTTPS sur une IP nue, sans nom de domaine — panneaux temporaires, services internes — dispose enfin d'une réponse légitime.

Le lien avec le choix d'hébergement

Des durées courtes exigent des tâches planifiées fiables et une configuration de serveur web réellement sous votre contrôle. Sur beaucoup d'hébergements mutualisés, les certificats sont gérés par le panneau : vous ne pouvez pas changer la fréquence de renouvellement et ne voyez jamais les journaux d'échec. Sur votre propre VPS, le timer systemd, le hook de rechargement et les alertes d'échec vous appartiennent. Les offres SharkCloud incluent l'accès root et des IP dédiées, avec des nœuds à Hong Kong, au Japon et aux États-Unis pour héberger au plus près de vos utilisateurs — votre couche HTTPS reste sous votre maîtrise.