Comme annoncé précédemment, c’est une évolution majeure dans le monde de la cybersécurité : la réduction de la durée de vie des certificats SSL .
Voici un récapitulatif pour gérer sereinement ce passage à 200 jours ainsi que la procédure pour vos serveurs Microsoft IIS.
🕒 Ce qui change en 2026
Désormais, les autorités de certification (CA) n’émettent plus de certificats valides pour une année entière d’un seul bloc. La limite est fixée à 200 jours.
Toutefois, pour votre confort, lorsque vous achetez votre certificat, l’offre est toujours pour « 1 an ». Voici comment cela fonctionne concrètement :
- Vous achetez votre certificat pour 1 an.
- Vous recevez un premier certificat (valable 200 jours).
- Avant l’échéance, un second certificat vous est envoyé automatiquement pour couvrir le reste de l’année.
Le point clé : Ces deux certificats sont des jumeaux techniques. Ils utilisent la même clé privée et les mêmes paramètres. Seule la date de fin change.
🛠️ Guide technique : Installation sur Microsoft IIS
Cette procédure est spécifique aux utilisateurs de serveurs Microsoft IIS qui génèrent leur certificat via IIS .
Dans ce cas :
• La clé privée est automatiquement stockée dans Windows
• Il faut simplement associer le nouveau certificat à cette clé existante
Étape 1 : Ajouter le certificat dans le magasin Windows
certutil -addstore "My" C:\SSL\votre_certificat.cer
Étape 2 : Récupérer l’empreinte du certificat
certutil -dump C:\SSL\votre_certificat.cer | findstr /c:"Cert Hash(sha1)"
Le résultat ressemblera à : Cert Hash(sha1): 78a1d8996487f98ca1e28bd772a1d68b64527237
Étape 3 : Associer le certificat à la clé privée certutil -repairstore
C’est ici que vous associez le certificat à la clé privée existante :
certutil -repairstore My "VOTRE_EMPREINTE_ICI"
Le résultat ressemblera à : certutil -repairstore My »78a1d8996487f98ca1e28bd772a1d68b64527237″
⚠️ Les règles d’or
Pour que la transition se fasse sans interruption de service, gardez ces conseils en tête :
- Ne supprimez pas la clé privée existante. Le second certificat en a besoin pour fonctionner.
- Pas de nouveau CSR : Inutile de générer une nouvelle demande de signature de certificat pour le deuxième envoi.
- Fidélité au serveur : Le certificat doit impérativement être installé sur le serveur d’origine (là où la clé a été créée).
💡Bon à savoir
• Cette évolution vise à améliorer la sécurité globale des certificats SSL
• Aucun changement n’est nécessaire dans votre configuration côté site web (bindings IIS inchangés si même certificat)
Besoin de conseil ou d’être guidé dans le renouvellement de vos certificats ?
N’hésitez pas à nous contacter à l’adresse tech@namebay.com.
