Let's Encrypt est une Autorité de certification gratuite et automatisée, à but non lucratif, gérée par l'Internet Security Research Group (ISRG). Elle émet des certificats SSL/TLS validés par domaine (DV) sans frais, rendant le chiffrement HTTPS accessible à tous.
Le service utilise le protocole ACME (Automatic Certificate Management Environment) pour automatiser chaque étape de la gestion des certificats. Vous exécutez un logiciel client comme Certbot ou acme.sh, qui génère une paire de clés, demande un certificat, prouve le contrôle du domaine via un défi automatisé, et installe le certificat signé — tout sans intervention manuelle. Le renouvellement se fait automatiquement via cron ou les minuteries systemd.
Le contrôle du domaine est prouvé en utilisant l'un de ces trois types de défis :
- HTTP-01 : placer un fichier dans
/.well-known/acme-challenge/sur votre serveur web - DNS-01 : ajouter un enregistrement TXT sous
_acme-challenge.<domaine> - TLS-ALPN-01 : répondre à un défi TLS sur le port 443
Let's Encrypt n'émet que des certificats validés par domaine — pas de validation organisationnelle (OV) ou de validation étendue (EV). Les certificats sont valides pendant 90 jours, ce qui est bien plus court que la période typique de 1 à 2 ans chez les autorités commerciales. Cela force l'automatisation du renouvellement mais élimine les oublis d'expiration entraînant des interruptions de service.
WarningLes certificats expirent après seulement 90 jours. Automatisez toujours le renouvellement avec votre client ACME ; le renouvellement manuel est facile à oublier. De plus, des limites de débit s'appliquent par domaine enregistré, utilisez l'environnement de test avant une réémission rapide lors des tests.
La racine de confiance de Let's Encrypt est ISRG Root X1, qui est maintenant directement approuvée par les systèmes d'exploitation et navigateurs modernes. Elle a émis des milliards de certificats depuis son lancement en 2015.