Peut-on obtenir un certificat SSL pour une adresse IP ?

Peut-on obtenir un certificat SSL pour une adresse IP (comme https://203.0.113.50) ? Oui — mais Let’s Encrypt ne le prend pas en charge, et il existe de meilleures alternatives.

Qui peut emettre des certificats pour des adresses IP ?

L’implementation ACME de Let’s Encrypt ne valide pas les adresses IP — elle ne valide que les noms de domaine. Cela signifie que GetHTTPS ne peut pas emettre de certificats pour les adresses IP.

Pourquoi les domaines sont presque toujours meilleurs

Dans presque tous les cas, enregistrer un domaine (10-15 $/an) et utiliser Let’s Encrypt (gratuit) est moins cher et plus flexible qu’obtenir un certificat pour adresse IP.

Quand les certificats pour adresses IP ont du sens

• Infrastructure interne — tableaux de bord de surveillance, panneaux d’administration, API sur un reseau prive ou le DNS n’est pas configure
• IoT/appareils embarques — appareils qui se connectent a une IP fixe et ne peuvent pas resoudre le DNS
• Developpement/tests — HTTPS rapide sur un serveur de test sans configurer le DNS
• Systemes legacy — applications codees en dur pour se connecter a une IP

Alternatives aux certificats pour adresses IP

Option 1 : Utiliser un domaine (recommande)

Enregistrez un domaine ou un sous-domaine, pointez-le vers votre IP, obtenez un certificat gratuit Let’s Encrypt.

# Exemple : pointer un sous-domaine vers votre IP
server.example.com -> enregistrement A -> 203.0.113.50

# Puis obtenir un certificat pour server.example.com

Cout : 0 $ (si vous avez deja un domaine) a 10-15 $/an (nouveau domaine).

Option 2 : Certificat auto-signe

Pour un usage interne lorsque les avertissements du navigateur sont acceptables :

openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:P-256 \
  -keyout key.pem -out cert.pem -days 365 -nodes \
  -subj "/CN=203.0.113.50" \
  -addext "subjectAltName=IP:203.0.113.50"

Notez le prefixe IP: dans le SAN — pas DNS:.

Option 3 : nip.io ou sslip.io (astuce DNS ingeniuse)

Ces services gratuits fournissent des enregistrements DNS qui resolvent vers l’IP integree dans le nom d’hote :

203.0.113.50.nip.io -> resout vers 203.0.113.50

Vous pouvez ensuite obtenir un certificat Let’s Encrypt pour 203.0.113.50.nip.io en utilisant GetHTTPS avec le challenge DNS-01. Le domaine est laid mais fonctionnel.

Option 4 : Cloudflare Tunnel

Exposez votre service base sur IP via le tunnel de Cloudflare avec un vrai domaine et un SSL automatique — pas besoin d’IP publique.

Questions frequemment posees

Pourquoi Let’s Encrypt ne prend-il pas en charge les adresses IP ?

Let’s Encrypt valide la propriete du domaine via des challenges DNS ou HTTP. Les adresses IP n’ont pas de propriete DNS de la meme maniere — le modele de validation ne s’applique pas proprement. D’autres CA (ZeroSSL, Google Trust Services) ont ajoute le support des IP a leurs implementations ACME.

Puis-je utiliser un certificat wildcard pour les adresses IP ?

Non. Les wildcards ne s’appliquent qu’aux noms DNS (*.example.com). Les adresses IP n’ont pas de sous-domaines.

Qu’en est-il des IP privees/internes (192.168.x.x, 10.x.x.x) ?

Aucune CA publique n’emettra de certificat pour une adresse IP privee — elles ne sont pas globalement uniques. Utilisez un certificat auto-signe ou une CA privee pour les reseaux internes.

Puis-je obtenir un certificat gratuit pour une IP publique ?

ZeroSSL et Google Trust Services prennent en charge les certificats pour adresses IP via ACME. Cependant, le forfait gratuit peut etre limite. Un domaine avec Let’s Encrypt est plus fiable et veritablement illimite.