Émettre un certificat

Vue d’ensemble

L’émission d’un nouveau certificat SSL dans AutoSSL se fait en deux temps :

1. Vous préparez la demande : domaines, stratégie de renouvellement et paramètres cryptographiques.
2. Vous prouvez que les domaines vous appartiennent par DNS (enregistrements CNAME), afin que l’autorité de certification (AC) puisse émettre le certificat.

Demande de certificat

Étape 1 : demander un nouveau certificat

Ouvrez la page Certificats, puis cliquez sur Créer un certificat. Un formulaire de configuration s’affiche.

1. Choisir l’autorité de certification

Choisissez l’autorité de certification qui émettra le certificat SSL. AutoSSL prend actuellement en charge :

• Let’s Encrypt : autorité de certification gratuite, automatisée et ouverte.

2. Configuration du domaine

Saisissez les noms de domaine que le certificat doit protéger.

• Ajoutez plusieurs domaines avec Ajouter un domaine.
• Les domaines wildcard sont pris en charge (par exemple *.example.com).
• Les noms de domaine ne peuvent ni se chevaucher ni être répétés. Vous ne pouvez pas demander à la fois www.autossl.dev et *.autossl.dev dans la même demande : le wildcard couvre déjà ce sous-domaine.

3. Paramètres de base

Indiquez comment AutoSSL doit gérer ce certificat dans le temps :

• Nom du certificat : (facultatif) donnez un nom pour le retrouver facilement. S’il est vide, AutoSSL en génère un à partir du domaine principal.
• Renouvellement automatique : activez-le pour qu’AutoSSL renouvelle le certificat avant son expiration, sans interruption.
• Nombre de jours avant expiration pour renouveler : si le renouvellement automatique est activé, choisissez le délai de déclenchement (entre 15 et 45 jours). 21 jours laissent en général assez de marge pour traiter un éventuel problème.

4. Paramètres avancés (cryptographie)

Vous pouvez ajuster les paramètres techniques de la demande de signature de certificat (CSR) :

• Algorithme de signature :
  • RSA : meilleure compatibilité avec les systèmes anciens. Longueurs possibles : 2048 bits (recommandé), 3072 bits ou 4096 bits.
  • ECDSA : meilleures performances et clés plus courtes. Courbes possibles : P-256 (meilleure compatibilité), P-384 (sécurité plus élevée) ou P-521.
• Algorithme de hachage : SHA-256, SHA-384 ou SHA-512 pour la signature du certificat.

Une fois le formulaire rempli, cliquez sur Suivant : configurer la vérification DNS pour créer le groupe de certificats et passer à la vérification.

Étape 2 : vérifier la propriété du domaine

Avant d’émettre le certificat, l’autorité de certification doit s’assurer que vous contrôlez les domaines demandés. AutoSSL utilise une vérification par DNS.

1. Configurer les enregistrements CNAME

AutoSSL génère des enregistrements CNAME pour chaque domaine de la demande.

• Connectez-vous à votre bureau d’enregistrement ou à votre hébergeur DNS (par exemple Cloudflare, Route 53 ou GoDaddy).
• Ajoutez les enregistrements CNAME indiqués. Le guide Ajouter des enregistrements DNS détaille la marche à suivre selon les fournisseurs.

2. Vérifier l’état

Après avoir ajouté les enregistrements, revenez dans AutoSSL.

• La propagation DNS peut prendre quelques minutes.
• AutoSSL contrôle l’état des enregistrements CNAME. Vous pouvez lancer une vérification manuelle pour actualiser l’état.

3. Lancer l’émission du certificat

Lorsque tous les domaines sont Vérifiés, le bouton Lancer l’émission du certificat devient actif.

• Cliquez dessus pour demander à l’autorité de certification de terminer la vérification et d’émettre le certificat.
• Après un court traitement, le certificat SSL est prêt. Vous pouvez alors configurer les déploiements pour l’envoyer vers votre infrastructure.

Renouvellement automatique et déploiement

Si vous activez le renouvellement automatique à l’étape 1, AutoSSL tente de renouveler le certificat avant son expiration, selon le réglage Nombre de jours avant expiration pour renouveler.

Le renouvellement automatique prend tout son sens lorsqu’il est associé aux déploiements :

1. Renouvellement automatique du certificat : lorsque le seuil est atteint (par exemple 21 jours avant l’expiration), AutoSSL demande un nouveau certificat à l’AC sans action de votre part, tant que les enregistrements CNAME restent valides.
2. Déclenchement des déploiements automatiques : dès que le nouveau certificat est émis, AutoSSL lance tous les déploiements de ce certificat pour lesquels l’option Déploiement automatique est activée.
3. Sans interruption : le nouveau certificat est envoyé et appliqué à votre infrastructure (CDN, répartiteurs de charge, fonctions serverless, etc.). Les connexions HTTPS restent en place, sans intervention manuelle.

Politique de nouvel essai et de pause du renouvellement automatique

Pour limiter les notifications répétées et éviter des tentatives inutiles lorsqu’un problème persiste, AutoSSL espace les renouvellements automatiques qui échouent.

• Après chaque échec consécutif, le prochain essai est repoussé de plus en plus longtemps : 1, 2, 4, 8, puis 16 jours.
• Pendant ce délai, les groupes de certificats qui ne sont pas encore à réessayer sont ignorés.
• Si les échecs continuent au-delà de ce calendrier (après 5 échecs consécutifs), AutoSSL met en pause le renouvellement automatique de ce groupe de certificats.

Lorsque le renouvellement automatique est en pause :

• AutoSSL envoie un e-mail « Auto-Renew Paused » à la place de l’e-mail d’échec habituel pour cet événement. Vous pouvez agir sans recevoir une alerte d’échec chaque jour.
• Le groupe de certificats est exclu des prochains renouvellements automatiques, jusqu’à ce que vous le réactiviez explicitement.

Reprendre le renouvellement automatique

1. Corrigez la cause, le plus souvent une erreur DNS ou CNAME.
2. Ouvrez la page Paramètres du certificat.
3. Réactivez le renouvellement automatique, puis cliquez sur Enregistrer.

Cette action efface l’état de pause et de nouvel essai. Le groupe de certificats revient dans le cycle de renouvellement automatique lors des prochaines exécutions planifiées.