Les certificats Let’s Encrypt offrent la meme force de chiffrement que les certificats coutant $100-$500 par an. Les algorithmes de chiffrement, les longueurs de cle et les protocoles TLS sont identiques. Un visiteur de votre site ne peut pas percevoir de difference de securite.
Alors pourquoi les certificats payants existent-ils ? Et en avez-vous besoin d’un ?
Reponse courte : la plupart des sites web n’en ont pas besoin. Le reste de cet article explique les differences reelles — pas le marketing.
Comparaison rapide
| Aspect | Let’s Encrypt (gratuit) | SSL payant (CA commerciale) |
|---|---|---|
| Force de chiffrement | Identique (TLS 1.2/1.3, AES-256) | Identique |
| Types de cles | RSA 2048/4096, ECDSA P-256/P-384 | Identique |
| Niveau de validation | DV uniquement | DV, OV, EV |
| Validite du certificat | 90 jours | 1 an (reduisant a 47 jours d’ici 2029) |
| Wildcard | ✅ (gratuit) | ✅ |
| Multi-domaine (SAN) | ✅ (jusqu’a 100 noms) | ✅ |
| Garantie | Aucune | $10K — $1,75M |
| Support technique | Forum communautaire | Support dedie |
| Confiance navigateur | Tous les navigateurs majeurs | Tous les navigateurs majeurs |
| Barre verte / nom d’organisation | Non (DV) | Non — retire des navigateurs en 2019 |
| Sceau de site | Non | Oui (badge marketing) |
| Cout par domaine/an | $0 | $50 — $500+ |
Le chiffrement est identique
C’est le point le plus important et celui que les CA commerciales dissimulent dans leur marketing : le chiffrement est le meme.
Un certificat DV Let’s Encrypt et un certificat EV DigiCert a $500 :
- Utilisent les memes protocoles TLS 1.2/1.3
- Negocient les memes suites de chiffrement (AES-256-GCM, ChaCha20-Poly1305)
- Utilisent les memes mecanismes d’echange de cles (ECDHE)
- Fournissent la meme confidentialite persistante
- Sont egalement reconnus par tous les navigateurs et systemes d’exploitation
Aucune CA commerciale n’utilise un “meilleur chiffrement”. Les standards sont definis par la specification TLS, pas par la CA. Payer plus vous achete de la validation et des services — jamais un chiffrement plus fort.
Ce pour quoi vous payez reellement
1. Niveau de validation (DV vs OV vs EV)
La seule difference technique substantielle :
| Niveau | Ce que la CA verifie | Duree | Affichage navigateur (2026) |
|---|---|---|---|
| DV | Vous controlez le domaine | Minutes (automatise) | Cadenas |
| OV | Domaine + l’organisation existe | 1-3 jours | Cadenas (identique a DV) |
| EV | Domaine + audit approfondi de l’org | 1-2 semaines | Cadenas (identique a DV) |
Les trois affichent le meme cadenas dans tous les navigateurs majeurs. Il n’y a aucune difference visuelle.
Explication detaillee de DV, OV et EV →
2. La barre verte a disparu
Les CA commerciales commercialisent encore les certificats EV comme affichant “la barre d’adresse verte avec le nom de votre entreprise”. C’est obsolete.
Chronologie de la suppression de la barre verte :
- Chrome 69 (septembre 2018) : Suppression du label vert “Securise”
- Chrome 77 (septembre 2019) : Suppression du nom d’organisation EV de la barre d’adresse
- Firefox 70 (octobre 2019) : Suppression de l’indicateur EV
- Safari (2020) : Suppression de la distinction EV
- Edge : Suit Chrome
En 2026, aucun navigateur majeur ne montre de difference visuelle entre les certificats DV, OV et EV. Les utilisateurs peuvent encore voir les details de l’organisation en cliquant sur Cadenas → Certificat, mais presque personne ne le fait.
Cela elimine le principal argument marketing pour les certificats EV.
3. Garantie
Les certificats payants incluent une “garantie” — generalement de $10K a $1,75M. Mais lisez les petits caracteres :
- Elle couvre la mauvaise emission par la CA — si la CA emet un certificat a quelqu’un qui ne controle pas le domaine, et qu’un visiteur subit une perte financiere directe
- Elle ne couvre PAS le piratage de votre site
- Elle ne couvre PAS les violations de donnees
- Elle ne couvre PAS les attaques de phishing
- Les reclamations necessitent de prouver que la CA a fait une erreur dans son processus de validation
Aucun paiement de garantie significatif n’a jamais ete documente publiquement. La garantie est un outil marketing, pas un avantage securitaire significatif.
4. Support technique
Let’s Encrypt : forum communautaire (letsencrypt.org/community). Pas de telephone, pas d’e-mail, pas de systeme de tickets.
CA commerciales : support par e-mail, telephone et chat, avec des SLA pour les plans entreprise.
Quand c’est important : Les grandes entreprises avec des exigences de conformite qui imposent un “support fournisseur” pour tous les composants d’infrastructure. Si votre liste de controle d’approvisionnement a un poste “contrat de support”, vous avez besoin d’une CA payante.
Quand ce n’est pas important : Pour la plupart des equipes qui peuvent suivre un tutoriel et chercher les messages d’erreur sur Google.
5. Sceaux de site
Certaines CA payantes fournissent un “sceau de confiance” — un badge que vous pouvez afficher sur votre site. Des etudes du debut des annees 2010 montraient que ceux-ci augmentaient les taux de conversion.
La realite en 2026 : La plupart des utilisateurs ne reconnaissent pas les logos des CA. L’icone de cadenas (que tous les certificats recoivent) est l’indicateur universel de confiance. Aucune etude controlee n’a montre qu’un sceau DigiCert ou Sectigo surpasse le cadenas seul sur les sites modernes.
Quand Let’s Encrypt suffit (90%+ des sites web)
Les certificats DV Let’s Encrypt sont suffisants pour :
- Sites personnels et blogs — DV fournit un chiffrement complet
- Applications SaaS — Google, Facebook et d’innombrables entreprises SaaS utilisent des certificats DV
- APIs et microservices — aucune preoccupation de confiance cote utilisateur
- E-commerce — PCI DSS exige le chiffrement, pas OV/EV. Stripe, PayPal et les processeurs de paiement gerent les donnees sensibles de carte de toute facon.
- Startups et petites entreprises — economisez $50-500/an par domaine
- Outils internes — aucune exigence de confiance externe
- Staging/developpement — aucune raison de payer pour les environnements de test
Quand vous avez reellement besoin d’un SSL payant
Vous devriez envisager un certificat payant uniquement si l’un de ces cas s’applique :
1. La conformite ou l’approvisionnement exige OV/EV
Certains acheteurs d’entreprise, agences gouvernementales ou cadres de conformite specifiques a l’industrie exigent des certificats OV ou EV. C’est un critere d’approvisionnement — pas une exigence de securite. Verifiez la reglementation reelle avant de presumer.
2. Votre auditeur exige l’identite organisationnelle dans le certificat
Certains audits de securite ou controles SOC 2 specifient que les certificats doivent inclure l’identite organisationnelle. Les certificats OV/EV integrent le nom legal de votre organisation dans les metadonnees du certificat. (Bien que la plupart des auditeurs acceptent le DV avec une justification appropriee.)
3. Exigences d’assurance
Dans de rares cas, votre police d’assurance cyber peut faire reference aux garanties de certificats. Verifiez avec votre assureur.
Le passage a la validite de 47 jours
Le CA/Browser Forum a vote pour reduire la validite maximale des certificats a 47 jours d’ici 2029 :
| Date | Validite max |
|---|---|
| Avant mars 2026 | 398 jours (1 an) |
| Mars 2026 | 200 jours |
| Mars 2027 | 100 jours |
| Mars 2029 | 47 jours |
Cela elimine le dernier avantage pratique des certificats payants : la validite plus longue. D’ici 2029, les certificats payants et gratuits devront etre renouveles mensuellement. La proposition de valeur “configurer et oublier” des certificats d’un an va disparaitre.
Analyse des couts
| Scenario | Let’s Encrypt | Payant (DigiCert DV) | Payant (Sectigo OV) | Economies |
|---|---|---|---|---|
| 1 domaine, 1 an | $0 | $268 | $88 | $88-268 |
| 5 domaines, 1 an | $0 | $1 340 | $440 | $440-1 340 |
| Wildcard, 1 an | $0 | $528 | $245 | $245-528 |
| 10 domaines, 5 ans | $0 | $13 400 | $4 400 | $4 400-13 400 |
Pour une entreprise avec 10 domaines sur 5 ans : $4 400 a $13 400 economies avec un chiffrement identique.
Le verdict
| Votre situation | Recommandation |
|---|---|
| Site personnel, blog, portfolio | Let’s Encrypt — aucune raison de payer |
| Startup, petite entreprise | Let’s Encrypt — depensez les $200/an pour quelque chose d’utile |
| SaaS, API, e-commerce | Let’s Encrypt — DV est suffisant, PCI DSS est d’accord |
| Entreprise avec critere OV/EV d’approvisionnement | Payant — mais uniquement a cause du critere |
| Industrie reglementee imposant OV/EV par politique | Payant — verifiez d’abord la reglementation reelle |
| Tous les autres | Let’s Encrypt |
Obtenez votre certificat gratuit maintenant : GetHTTPS — 5 minutes, aucune installation, la cle privee reste dans votre navigateur.
Questions frequemment posees
Google classera-t-il mon site moins bien avec un certificat SSL gratuit ?
Non. Google a confirme que le type de certificat SSL (DV, OV, EV) n’affecte pas le classement dans les recherches. Tout certificat HTTPS valide fournit le meme signal SEO.
Un certificat gratuit est-il sur pour le e-commerce ?
Oui. PCI DSS (le standard de l’industrie des cartes de paiement) exige des connexions chiffrees mais ne specifie pas de niveau de validation. Les certificats DV repondent aux exigences PCI. Votre processeur de paiement (Stripe, PayPal, Square) gere les parties les plus sensibles de la securite des paiements — pas votre certificat.
Les clients font-ils moins confiance au SSL gratuit ?
Les clients voient la meme icone de cadenas quel que soit le type de certificat. Depuis 2019, aucun navigateur majeur ne montre de difference visuelle entre DV, OV et EV. La barre d’adresse verte a disparu. Les utilisateurs font confiance au cadenas — pas a la marque de la CA.
Que se passe-t-il si Let’s Encrypt ferme ?
Let’s Encrypt est gere par l’Internet Security Research Group (ISRG), soutenu par Mozilla, Google, EFF, Meta, Cisco et d’autres. C’est la plus grande CA du monde (63,9 % de part de marche). Bien que toute organisation puisse theoriquement fermer, l’ISRG est financierement plus stable que de nombreuses CA commerciales.
Puis-je passer de Let’s Encrypt a un certificat payant plus tard ?
Oui. Achetez un certificat payant et remplacez les fichiers sur votre serveur. Pas de migration, pas de temps d’arret si c’est fait avant l’expiration de l’ancien certificat. Le serveur ne se soucie pas de quelle CA a emis le certificat.
Pourquoi les CA commerciales disent-elles que les certificats gratuits sont moins securises ?
Parce qu’elles vendent des certificats payants. Le chiffrement est identique — c’est defini par le standard TLS, pas par la CA. Les CA commerciales ne peuvent pas offrir un “meilleur chiffrement” car la specification ne le permet pas. Elles se differencient sur le niveau de validation, la garantie et le support — rien de tout cela n’affecte la force du chiffrement.