Let's Encrypt et automatisation du protocole ACME

Let's Encrypt est une autorité de certification gratuite, automatisée et ouverte, gérée par l'Internet Security Research Group (ISRG), lancée en bêta publique en décembre 2015. Elle a émis plus de 3 milliards de certificats et a considérablement accéléré l'adoption de HTTPS sur le Web en supprimant le coût et la complexité liés à l'obtention de certificats TLS approuvés publiquement.

Le protocole Automated Certificate Management Environment (ACME), normalisé par la RFC 8555 en 2019, définit comment les clients prouvent automatiquement qu'ils contrôlent un domaine et reçoivent des certificats des CA. ACME remplace les processus manuels de validation de domaine par un échange automatisé vérifié cryptographiquement, permettant d'automatiser la gestion du cycle de vie des certificats sans intervention manuelle.

Le défi HTTP-01 valide le contrôle d'un domaine en exigeant que le client ACME place un fichier de jeton spécifique à l'adresse "http://DOMAIN/.well-known/acme-challenge/TOKEN". La CA récupère cette URL pour vérifier le jeton. HTTP-01 est simple à mettre en œuvre, mais nécessite que le port 80 soit accessible et ne peut pas être utilisé pour les certificats génériques.

Le défi DNS-01 valide le contrôle d'un domaine en exigeant que le client ACME crée un enregistrement TXT DNS à l'adresse "_acme-challenge.DOMAIN" avec une valeur spécifique. La CA interroge DNS pour vérifier l'enregistrement. DNS-01 est le seul type de défi prenant en charge l'émission de certificats génériques ("*.example.com") et fonctionne même lorsque les serveurs web sont protégés par des pare-feu.

Le défi TLS-ALPN-01 valide le contrôle d'un domaine au niveau de TLS à l'aide d'un identifiant de protocole ALPN personnalisé, "acme-tls/1". Le client ACME sert temporairement un certificat auto-signé contenant le jeton du défi dans une extension spéciale, sur le port 443. Ce défi fonctionne sans serveur web actif et prend en charge les environnements avec répartition de charge.

Certbot est le client ACME de référence de l'Electronic Frontier Foundation pour Let's Encrypt. Il automatise l'intégralité du cycle de vie des certificats : validation du domaine, émission du certificat et renouvellement automatique. Certbot comprend des modules pour Apache et nginx qui configurent automatiquement les paramètres TLS. Installez-le avec "snap install --classic certbot" sur les distributions Linux modernes.

De nombreux clients ACME autres que Certbot existent pour répondre à différents besoins. acme.sh est un client ACME constitué exclusivement d'un script shell, largement utilisé dans les environnements légers. Le serveur web Caddy intègre ACME et renouvelle automatiquement les certificats. Traefik, utilisé dans les environnements de conteneurs, gère ACME via sa configuration certificatesResolvers pour les charges de travail conteneurisées.

Les certificats de Let's Encrypt ont par conception une période de validité de 90 jours, ce qui encourage l'automatisation et réduit la durée d'exposition des clés privées compromises. Certbot installe un minuteur systemd ou une tâche cron qui exécute "certbot renew" deux fois par jour et renouvelle tout certificat arrivant à expiration dans les 30 jours. Le renouvellement manuel est une mauvaise pratique qui entraîne des interruptions de service.

Let's Encrypt applique des limites de débit pour prévenir les abus. Les principales limites sont de 50 certificats par domaine enregistré et par semaine, ainsi que de 5 certificats identiques par semaine. Les tentatives de validation échouées sont également limitées à 5 par nom d'hôte et par heure. Pendant le développement, l'environnement de préproduction de Let's Encrypt permet d'émettre un nombre illimité de certificats auprès d'une CA de test qui n'est pas approuvée publiquement.

Un seul certificat ACME peut couvrir plusieurs domaines (noms alternatifs du sujet). "certbot --domains example.com,www.example.com,api.example.com" émet un certificat comportant trois SAN. Les certificats génériques ("*.example.com") nécessitent une validation DNS-01 et couvrent tous les sous-domaines d'un seul niveau. Les certificats génériques ne couvrent pas le domaine racine (example.com) lui-même ; il faut donc ajouter un SAN.

Le protocole ACME ne se limite pas à Let's Encrypt. Des CA internes comme Step-CA (smallstep), EJBCA et HashiCorp Vault peuvent exposer des points de terminaison ACME pour automatiser les certificats internes. Cela permet d'appliquer à l'infrastructure mTLS interne et aux services privés la même gestion automatisée du cycle de vie des certificats que celle utilisée pour les services accessibles publiquement.

Let's Encrypt fournit des certificats gratuits via le protocole ACME (RFC 8555). Les défis HTTP-01 fonctionnent pour les certificats non génériques sur le port 80. DNS-01 permet les certificats génériques en prouvant le contrôle de la zone DNS. TLS-ALPN-01 fonctionne sans serveur web. Certbot et acme.sh automatisent l'intégralité du cycle de vie. Les certificats valables 90 jours nécessitent une automatisation. Les limites de débit imposent d'utiliser l'environnement de préproduction pendant les tests.