Un certificat SSL/TLS est un fichier numérique qui lie l'identité d'un site web (son nom de domaine) à une clé cryptographique publique. Délivré par une autorité de certification (CA, pour Certificate Authority), il permet à un navigateur de vérifier qu'il communique bien avec le serveur légitime, puis d'établir une connexion chiffrée grâce au protocole TLS. C'est lui qui déclenche le cadenas et le préfixe HTTPS dans la barre d'adresse.
Le terme « certificat SSL » persiste pour des raisons historiques : SSL (Secure Sockets Layer) est l'ancêtre de TLS, déprécié depuis 2015 en raison de failles de sécurité. Les certificats émis aujourd'hui sont donc techniquement des certificats TLS, au format X.509, même si l'usage commercial conserve l'appellation SSL.
Comment fonctionne un certificat SSL/TLS
Lors de l'établissement d'une connexion sécurisée (le handshake TLS), le serveur présente son certificat et le navigateur vérifie trois éléments :
- Le certificat couvre bien le domaine visité (champ Subject Alternative Name)
- Il est signé par une autorité de certification reconnue, via une chaîne de confiance qui remonte jusqu'à un certificat racine embarqué dans le navigateur ou le système d'exploitation
- Il est toujours valide : période de validité en cours et absence de révocation
Une fois ces contrôles passés, le chiffrement de la session peut s'établir et les données échangées deviennent illisibles pour un tiers.
Niveaux de validation et types de certificats
- DV (Domain Validation) : l'autorité vérifie uniquement le contrôle du domaine, l'émission est automatisable en quelques minutes
- OV (Organization Validation) : l'autorité vérifie en plus l'existence juridique de l'organisation
- EV (Extended Validation) : vérification renforcée de l'identité
Les navigateurs affichent aujourd'hui ces trois niveaux de façon identique, l'OV et l'EV ne subsistent que pour des exigences contractuelles ou de conformité. Côté couverture, un certificat wildcard (*.exemple.fr) protège tous les sous-domaines de premier niveau, tandis qu'un certificat multi-domaines (SAN) couvre une liste de noms définie.
Durée de vie : un modèle en pleine mutation
Depuis le 15 mars 2026, le CA/Browser Forum plafonne la durée de vie des certificats TLS publics à 200 jours, une limite qui descendra à 100 jours en mars 2027, puis à 47 jours à l'horizon 2029 (ballot SC-081v3). Le renouvellement manuel devient donc rapidement intenable : l'émission et le renouvellement s'automatisent désormais via le protocole ACME, popularisé par Let's Encrypt et repris par la plupart des autorités de certification, ou via des services managés comme AWS Certificate Manager. Pour les conséquences concrètes de ce changement, consultez notre analyse Certificats SSL : le renouvellement manuel est condamné.
