Let's Encrypt ajoute deux perspectives de validation : qui le verra

Le 15 octobre 2026, Let's Encrypt a annoncé l'ajout de deux nouvelles perspectives distantes pour la validation de domaine. Concrètement, avant d'émettre un certificat, il vérifiera votre domaine avec sept requêtes au lieu de cinq. Le projet s'attend à peu ou pas d'impact, et pour la plupart des sites ce sera vrai. Les sites qui pourraient s'en apercevoir sont ceux qui décident qui peut les joindre selon le pays ou l'adresse IP.

Ce qui change, en chiffres

Quand vous demandez un certificat, Let's Encrypt doit confirmer que vous contrôlez le domaine. Il le fait en récupérant une réponse de challenge, et il ne se fie pas à un seul point d'observation. D'après l'annonce, la validation fera désormais sept requêtes au total : une depuis le datacenter principal et six depuis des perspectives distantes, contre quatre auparavant. Pour que la validation réussisse, le serveur principal et un quorum de perspectives distantes doivent recevoir la bonne réponse.

La raison est la sécurité. L'annonce indique que davantage de perspectives rendent les requêtes de validation plus difficiles à détourner et protègent mieux contre les attaques BGP, où quelqu'un redirige le trafic destiné à vos adresses IP pour qu'une vérification unique aboutisse chez lui plutôt que chez vous. Vérifier depuis plus de réseaux à la fois complique beaucoup l'opération.

Pourquoi maintenant : une règle avec une date

Ce n'est pas qu'un choix. Les Baseline Requirements du CA/Browser Forum, section 3.2.2.9, disent qu'à compter du 2026-12-15 une autorité de certification doit utiliser au moins cinq perspectives réseau distantes, que celles qui confirment la principale doivent se trouver dans les zones de service d'au moins deux registres Internet régionaux distincts, et que si ces exigences ne sont pas remplies, le certificat ne doit pas être émis. Let's Encrypt passe à six perspectives distantes avant cette date.

Les dates, telles qu'annoncées : les nouvelles régions arrivent en staging le mardi 27 octobre 2026 puis, si tout se passe bien, en production le mardi 10 novembre 2026. Les mises à jour seront publiées dans le fil de l'annonce.

Qui peut le remarquer

L'annonce ne liste pas de configurations touchées : ce qui suit est donc un conseil général. La validation multi-perspective ne fonctionne que si chaque perspective peut joindre votre challenge. Si vous bloquez le trafic par pays, ou n'autorisez que certaines plages IP à joindre le serveur web, une nouvelle perspective située dans une région bloquée peut échouer. Avec assez d'échecs, le quorum n'est pas atteint et aucun certificat n'est émis. Un site sans aucun filtrage devant le chemin du challenge n'est pas concerné.

Les endroits habituels à vérifier : une règle de géoblocage dans un CDN ou un WAF, un pare-feu qui n'admet que des IP connues, et un reverse proxy qui filtre avant de servir /.well-known/acme-challenge/. Un challenge DNS-01 évite le chemin HTTP, mais les requêtes DNS viennent elles aussi de plusieurs réseaux : une configuration DNS restrictive mérite le même examen.

Le danger discret, c'est un renouvellement qui échoue des semaines plus tard, pas le jour du changement. Si vos certificats se renouvellent automatiquement, assurez-vous qu'un échec arrive jusqu'à un humain.

Prochaine étape : si votre client ACME prend en charge l'environnement de staging de Let's Encrypt, demandez-y un certificat de test après le 27 octobre et vérifiez qu'il passe à travers vos vraies règles de filtrage. Source : forum Let's Encrypt, Let's Encrypt is adding two additional remote perspectives for domain validation.