HTTPS gratuit
avec Certbot

Certbot est l'outil officiel de l'EFF pour obtenir et renouveler automatiquement des certificats Let's Encrypt — une autorité de certification gratuite et reconnue par tous les navigateurs.

Installez Certbot avec le plugin Nginx sur Debian / Ubuntu :

sudo apt update
sudo apt install certbot python3-certbot-nginx -y

Prérequis avant de demander un certificat :

Certbot détecte automatiquement votre configuration Nginx, demande le certificat auprès de Let's Encrypt et met à jour votre configuration pour activer HTTPS :

sudo certbot --nginx

Certbot vous guidera de manière interactive :

• Adresse e-mail — utilisée pour les alertes d'expiration et les notifications de sécurité urgentes.
• Acceptation des CGU — conditions d'utilisation de Let's Encrypt.
• Choix du domaine — Certbot détecte automatiquement les server_name de vos VirtualHosts Nginx.
• Redirection HTTP → HTTPS — il est fortement recommandé d'accepter la redirection automatique.

Pour spécifier le domaine directement sans interaction :

sudo certbot --nginx -d monsite.fr -d www.monsite.fr

Lister tous les certificats installés et leurs dates d'expiration :

sudo certbot certificates

Simuler le renouvellement sans appliquer de changements (à faire avant toute intervention) :

sudo certbot renew --dry-run

# Forcer le renouvellement immédiat (même si non expiré)
sudo certbot renew --force-renewal

# Renouveler uniquement un domaine spécifique
sudo certbot renew --cert-name monsite.fr

# Révoquer un certificat
sudo certbot revoke --cert-path /etc/letsencrypt/live/monsite.fr/cert.pem

# Supprimer un certificat et sa configuration
sudo certbot delete --cert-name monsite.fr

Les certificats générés sont stockés dans :

/etc/letsencrypt/live/monsite.fr/
  ├── cert.pem       # Certificat du domaine
  ├── chain.pem      # Chaîne intermédiaire
  ├── fullchain.pem  # Certificat + chaîne (utilisé par Nginx)
  └── privkey.pem    # Clé privée (ne jamais partager)

• Renouvellement automatique — ne désactivez jamais le timer systemd de Certbot. Les certificats Let's Encrypt expirent après 90 jours ; sans renouvellement, votre site affiche une erreur SSL à vos visiteurs.
• Tester avec --staging — utilisez l'environnement de staging de Let's Encrypt lors des tests pour éviter la limite de taux (certbot --nginx --staging).
• Inclure www et non-www — demandez toujours le certificat pour les deux variantes avec -d monsite.fr -d www.monsite.fr pour couvrir toutes les URLs.
• Ne pas exposer la clé privée — le fichier privkey.pem ne doit jamais être accessible publiquement ni être versionné dans un dépôt Git.
• Combiner avec Nginx — consultez le guide Nginx pour configurer la redirection HTTP → HTTPS et optimiser la configuration TLS de votre reverse proxy.