398, 200, 100, puis 47 jours en 2029 : la durée de vie maximale des certificats SSL/TLS s’effondre. À ce rythme, le renouvellement manuel devient une panne de production programmée.
Le calendrier est fixé par le CA/Browser Forum : 200 jours depuis 2026, 100 jours en 2027, 47 jours en 2029. Le plus gros de la baisse se joue donc en trois ans. Et il ne s’agit pas d’une recommandation : passé la date, vos certificats expirent, que vous soyez prêts ou non.
Pas besoin d’être un géant pour être débordé
Prenons une PME ou une ETI ordinaire, avec environ 100 certificats en service. À 47 jours de validité, cela représente près de deux renouvellements par jour ouvré, soit environ 780 par an. Même à quelques minutes par certificat, c’est une tâche répétitive et sans valeur ajoutée, où chaque oubli, chaque renouvellement raté ou chaque déploiement de travers peut arrêter un service.
Le problème se double d’un angle mort. Les certificats que l’on connaît sont souvent ceux des sites web et des API. Sous la surface, il y a les répartiteurs de charge, les reverse proxies, la PKI interne, le code signing, les VPN, les NAS, les imprimantes, la supervision, les certificats auto-signés, les environnements de test, l’IoT. Les organisations sous-estimeraient ainsi leur parc de 40 à 80 %. Avec des certificats valables un ou deux ans, on s’en aperçoit à temps. À 47 jours, ce ne sera plus le cas.
Le replay du webinar
Jérémy Selin, #RocketExpert LAZAR SOFT, explique ce qui change vraiment pour votre parc, pourquoi le mouvement s’accélère avec l’arrivée de la cryptographie post-quantique, puis montre en direct comment Key Manager Plus découvre, inventorie et renouvelle automatiquement vos certificats.
Pourquoi 47 jours : le mur quantique
La réduction de durée de vie prépare le « Q-Day », le jour où un ordinateur quantique suffisamment puissant cassera RSA et les courbes ECC grâce à l’algorithme de Shor. La menace est déjà active : des attaquants capturent aujourd’hui du trafic chiffré pour le déchiffrer plus tard, selon le principe « harvest now, decrypt later ». Le NIST prévoit dans son rapport IR 8547 la dépréciation de RSA-2048 et ECC-P256 après 2030, puis leur retrait d’ici 2035.
Les autorités de certification s’adaptent : nouveaux algorithmes résistants au quantique validés par le NIST en 2024, certificats hybrides qui combinent ancien et nouveau chiffrement, premiers déploiements chez Let’s Encrypt, DigiCert, Sectigo et Microsoft. Mais le plus dur reste chez vous. Aucune migration ne se fait « en place » : il faudra reconstruire les chaînes de certificats une par une, et l’on ne migre que ce que l’on voit. Le prérequis n’est donc pas cryptographique, il est opérationnel.
Ce que montre la démonstration
Key Manager Plus pilote le cycle de vie des certificats depuis une seule console, disponible sur site ou en cloud, hébergé dans des datacenters européens. L’interface existe en français.
Découverte automatique du parc
À 17:55 dans le replay
La découverte se lance sur un nom d’hôte, une adresse IP, une plage d’adresses, une URL ou un fichier. Elle couvre aussi les serveurs de messagerie, les répartiteurs de charge, AWS, Azure Key Vault, et les machines équipées d’un agent. Elle tourne en continu : un nouveau certificat est détecté dès son apparition.
Cas client. Pour un partenaire, il a suffi de saisir l’adresse IP d’une appliance de sauvegarde, absente des intégrations natives, pour récupérer son certificat et le placer sous surveillance.
Inventaire consolidé
À 12:05 et 19:35 dans le replay
Tous les certificats découverts arrivent dans un inventaire unique : émetteur, algorithme, taille de clé, date d’expiration, emplacement. Le tableau de bord affiche les expirations à venir, les algorithmes de signature et les autorités de certification présentes. Depuis la même console, on génère et signe les CSR, avec des modèles réutilisables, et on exporte les certificats dans le format voulu.
Outils inclus. Analyse de CSR et de certificat, conversion de format (par exemple de PEM vers PKCS#7) sans passer par OpenSSL.
Alertes avant expiration et renouvellement automatique
À 22:05 dans le replay
Key Manager Plus s’intègre aux autorités publiques, comme DigiCert, Sectigo, GlobalSign ou GoDaddy, et à toute autorité compatible ACME, dont Let’s Encrypt, ainsi qu’à Microsoft CA. On peut commander un certificat directement depuis l’outil, recevoir une alerte au délai choisi avant l’expiration, et surtout activer le renouvellement automatique.
Jusqu’au déploiement. Le certificat renouvelé est déployé sans intervention sur les serveurs cibles : magasin de certificats Windows, IIS avec sa liaison, Linux, répartiteurs de charge, AWS, Azure.
Gouvernance de la visibilité
À 25:00 dans le replay
Chaque opération est tracée dans un journal d’audit. Des audits de découverte peuvent être planifiés tous les mois, tous les trimestres ou tous les six mois. Les rapports, sur les expirations, les wildcards, les déploiements ou les autorités publiques, s’exportent en PDF ou CSV, ou partent par email. Les droits se gèrent par rôle.
Scan de vulnérabilités. Sur un domaine, l’outil vérifie les failles connues comme Heartbleed ou POODLE, les suites de chiffrement et la taille des clés. Un scan régulier est conseillé sur les sous-domaines de test, souvent moins bien suivis.
L’outil se connecte à ServiceDesk Plus et ServiceNow pour transformer les alertes en tickets, et reste ouvert par API. La version sur site ajoute la gestion des clés SSH : découverte, renouvellement et attribution automatisée des paires de clés.
Questions de la session
Des certificats gérés en fichiers plats, au format PEM ? Ils peuvent être découverts et placés sous alerte d’expiration. Si l’autorité émettrice est intégrée, publique ou interne, le cycle complet est pris en charge.
Et les équipements Fortinet ? Le renouvellement automatique est pris en charge sur les répartiteurs de charge FortiGate. Pour les autres équipements, la découverte par adresse IP et les alertes d’expiration fonctionnent, le renouvellement automatique passant par un agent.
Ce qu’il faut retenir
- 47 jours de validité en 2029 : le renouvellement manuel ne tient plus.
- Post-quantique : des hiérarchies de certificats entières à reconstruire.
- Shadow PKI : une large part du parc reste invisible.
Le seul cap tenable : découverte continue, crypto-agilité, puis automatisation de bout en bout. Pour situer votre organisation, le webinar se conclut par un test de maturité en six questions [À compléter : lien vers le test].
Avant tout projet, un premier échange d’une heure avec nos équipes permet de faire l’état des lieux réel de votre parc : combien de certificats, où, et lesquels expirent en premier. LAZAR SOFT accompagne ensuite la mise en œuvre de Key Manager Plus et son maintien en conditions opérationnelles.
LAZAR SOFT
Combien de certificats expirent chez vous d’ici 2029 ?
Nos équipes avant-vente répondent aux questions de mise en œuvre sur l’ensemble du catalogue ManageEngine.