Renouveler ou réémettre un certificat SSL
Les deux mots sont souvent employés l'un pour l'autre. Ils recouvrent pourtant deux opérations distinctes, d'autant plus fréquentes que la durée des certificats diminue.
Réémettre : un nouveau certificat dans la même souscription
Une réémission produit un nouveau fichier de certificat pour le même achat, sans paiement supplémentaire pendant l’année couverte. On réémet dans plusieurs cas :
- le certificat en cours atteint la durée maximale autorisée (200 jours, puis 100 et 47 jours, voir le calendrier) ;
- vous changez de serveur ou de système d’exploitation ;
- vous avez perdu la clé privée ou vous craignez qu’elle ait été exposée ;
- vous voulez passer d’une clé RSA à une clé ECDSA, lorsque votre produit l’accepte.
La procédure est toujours la même : vous générez une nouvelle clé et une nouvelle CSR (guide CSR), vous nous envoyez la CSR en répondant à l’e-mail de rappel ou par un ticket d’assistance, nous faisons réémettre le certificat par l’autorité de certification, puis vous installez le nouveau certificat.
Renouveler : une nouvelle période d’un an
Un renouvellement prolonge la souscription pour une nouvelle année. C’est une nouvelle commande, donc une nouvelle facture. À l’approche de l’échéance de la souscription, un e-mail vous prévient 15 jours avant, avec le lien de commande : vous renouvelez en passant une nouvelle commande, depuis ce lien ou avec le bouton « Commander » de la page du certificat.
Comment éviter l’expiration en production
- Notez la date d’expiration de chaque certificat et celle de la souscription.
- Planifiez la réémission avant la date limite, pas le jour même : l’installation doit pouvoir être testée.
- Après installation, vérifiez la date du certificat réellement servi :
echo | openssl s_client -connect www.exemple.fr:443 -servername www.exemple.fr 2>/dev/null | openssl x509 -noout -dates
Le serveur peut continuer à présenter l’ancien certificat tant qu’il n’a pas été rechargé : c’est une cause classique d’expiration après un remplacement. Les autres causes sont décrites dans les erreurs SSL courantes.
Si vous gérez beaucoup de domaines, la page agences web présente nos rappels et nos factures par client.
Une réémission est-elle payante ?
Non. Pendant l'année couverte par votre achat, les réémissions sont incluses. Seul le renouvellement de la souscription au terme de l'année donne lieu à une nouvelle facture.
Dois-je générer une nouvelle clé privée à chaque réémission ?
C'est recommandé. Une nouvelle CSR avec une nouvelle clé limite l'impact d'une fuite éventuelle de l'ancienne clé. Si la clé a pu être exposée, une nouvelle clé est indispensable.
Quand suis-je prévenu de l'échéance ?
Un e-mail vous prévient 15 jours avant l'échéance du certificat. Pendant l'année couverte, répondez à cet e-mail et nous réémettons le certificat. Au terme de l'année, vous renouvelez par une nouvelle commande.