Let’s Encrypt ou certificat SSL payant : lequel choisir ?

Let’s Encrypt ou certificat payant : la réponse courte

Pour la grande majorité des sites professionnels, le choix entre Let’s Encrypt ou certificat payant se règle vite : le certificat gratuit chiffre aussi bien, affiche le même indicateur dans le navigateur et se renouvelle seul. Il est inclus dans tous les packs d’hébergement web NovaHoster et s’active en quelques minutes depuis Plesk. Un certificat payant ne chiffre pas « mieux » : il apporte autre chose, une identité d’entreprise vérifiée (OV, EV), une garantie contractuelle, un support d’autorité, ou une couverture de sous-domaines qui ne dépend pas de l’automatisation.

La question utile n’est donc pas « gratuit ou payant ? » mais « qu’est-ce qu’on me demande de prouver, et à qui ? ». Trois situations ressortent :

un site vitrine, un blog, une application métier, une boutique qui confie le paiement à un prestataire : Let’s Encrypt suffit ;
une entreprise qui doit faire figurer son identité juridique dans le certificat parce qu’un client, un appel d’offres ou un régulateur l’exige : OV, parfois EV ;
un parc de nombreux sous-domaines, ou un serveur où l’automatisation ACME est impossible : wildcard, gratuit ou payant selon le contexte.

Ce qu’un certificat SSL fait réellement, et ce qu’il ne fait pas

Un certificat SSL (on devrait dire TLS, mais l’usage a gardé « SSL ») sert à deux choses, et deux seulement.

Ce qu’il garantit

Le chiffrement des échanges entre le navigateur et le serveur : mots de passe, formulaires, paniers ne circulent pas en clair. La robustesse dépend de la configuration du serveur (versions de TLS, suites cryptographiques), pas du prix du certificat.
L’identité du nom de domaine : une autorité de certification a vérifié que le demandeur contrôle bien votredomaine.fr. Avec OV et EV, elle vérifie en plus l’existence de l’entreprise qui l’exploite.

Ce qu’il ne garantit pas

Il ne protège pas le serveur : un WordPress non mis à jour est aussi vulnérable en HTTPS qu’en HTTP. Ce volet relève des bonnes pratiques de sécurité d’un hébergement.
Il ne garantit pas l’honnêteté du site : un site frauduleux obtient un certificat DV aussi facilement qu’un site légitime, puisque seul le contrôle du domaine est vérifié. L’indicateur du navigateur signifie « la connexion est chiffrée vers le nom affiché », rien de plus.

Côté réglementaire, le chiffrement en transit fait partie des mesures de sécurité attendues par la CNIL dès qu’un site collecte des données personnelles, donc dès un formulaire de contact. Le guide RGPD pour un site de PME replace HTTPS parmi les autres obligations. Un certificat gratuit remplit cette exigence.

Différence DV, OV, EV : ce qui est vérifié, par qui, et ce que voit le visiteur

Les règles d’émission sont fixées par le CA/Browser Forum, qui réunit autorités de certification et éditeurs de navigateurs. Ses « Baseline Requirements » encadrent DV et OV ; des « EV Guidelines » séparées encadrent EV.

DV, validation du domaine

L’autorité vérifie uniquement que le demandeur contrôle le domaine : fichier déposé à une adresse précise du site (HTTP-01), enregistrement TXT publié dans la zone DNS (DNS-01), ou e-mail envoyé à une adresse d’administration du domaine. Tout est automatisable, d’où l’émission en quelques minutes. Aucune information sur l’entreprise ne figure dans le certificat.

OV, validation de l’organisation

En plus du domaine, l’autorité vérifie l’existence légale de l’entreprise dans un registre officiel (pour une société française, le registre du commerce), son adresse, un numéro de téléphone issu d’une source indépendante, et l’habilitation de la personne qui commande, souvent par un appel de contrôle. Comptez en général un à trois jours ouvrés. Le nom et la ville de l’entreprise apparaissent dans les détails du certificat.

EV, validation étendue

Même logique qu’OV, avec des contrôles plus stricts et documentés : existence opérationnelle, pièces signées, vérification croisée des signataires. Les délais vont souvent de quelques jours à deux semaines. Le certificat porte l’identité complète de l’entreprise, y compris son numéro d’immatriculation.

Ce que le visiteur voit aujourd’hui

Jusqu’en 2019, Chrome et Firefox affichaient le nom de l’entreprise dans la barre d’adresse pour un certificat EV ; cette « barre verte » a été retirée par les principaux navigateurs. Depuis, DV, OV et EV présentent le même indicateur. L’identité OV ou EV reste consultable, mais seulement pour qui ouvre les détails du certificat, ce que très peu de visiteurs font. Un certificat SSL entreprise se justifie donc par une exigence formelle ou une politique interne, pas par un effet visuel sur le client final.

Let’s Encrypt : ce que le certificat gratuit offre, et ses limites réelles

Let’s Encrypt est une autorité de certification à but non lucratif qui délivre uniquement des certificats DV, gratuitement, via le protocole ACME. Chez NovaHoster, l’extension SSL It! de Plesk gère l’émission et le renouvellement : vous cochez la protection du domaine, de son alias www et du webmail, et le serveur s’occupe du reste. La procédure pas à pas, avec le forçage de HTTPS et la correction du contenu mixte, est dans le guide pour activer HTTPS et corriger un certificat SSL ; nous ne la répétons pas ici.

Points forts

Gratuit, sans limite de nombre de domaines sur un hébergement NovaHoster.
Émis en quelques minutes, renouvelé automatiquement avant l’échéance.

Limites à connaître avant de choisir

DV uniquement. Let’s Encrypt indique dans sa FAQ qu’il n’émet ni OV ni EV, parce que ces validations ne s’automatisent pas.
Validité de 90 jours. Le renouvellement se fait environ tous les 60 jours. Si l’automatisation casse (domaine qui ne pointe plus vers le serveur, fichier de validation bloqué par une règle de réécriture), le site tombe en erreur de certificat à l’échéance. Et depuis juin 2025, Let’s Encrypt n’envoie plus d’e-mails d’alerte d’expiration : la surveillance repose sur Plesk et sur vous.
Dépendance au DNS. Un enregistrement A erroné ou une propagation en cours fait échouer l’émission ; le guide pour configurer les DNS d’un nom de domaine explique comment vérifier les enregistrements concernés.
Limites de débit. Au moment où nous écrivons, Let’s Encrypt plafonne à 50 nouveaux certificats par domaine enregistré sur sept jours, et à 5 certificats pour un même jeu exact de noms ; les renouvellements coordonnés par le mécanisme ARI en sont exemptés.
Pas de garantie financière ni de support. Aucun contrat, aucune assurance, une communauté plutôt qu’un service client.

Certificat wildcard : quand il se justifie

Un certificat wildcard couvre *.votredomaine.fr, c’est-à-dire tous les sous-domaines de premier niveau (boutique., intranet., client1.…), et en général le domaine nu en complément. Il ne couvre pas les niveaux inférieurs comme api.v2.votredomaine.fr.

Quand il est utile

Vous créez des sous-domaines régulièrement : espaces clients personnalisés, environnements de test, instances par agence ou par pays.
Vous gérez plus de cinq ou six sous-domaines et voulez un seul objet à surveiller.

Pour un site avec votredomaine.fr et www.votredomaine.fr, un certificat SAN classique couvre les deux noms ; un wildcard est inutile et concentre un risque : si sa clé privée fuit, tous les sous-domaines sont exposés.

Wildcard gratuit ou payant

Let’s Encrypt émet des wildcards, mais uniquement par validation DNS-01 : un enregistrement TXT doit être publié dans la zone à chaque émission, donc à chaque renouvellement. Si la zone DNS est gérée sur le même serveur Plesk, SSL It! peut poser cet enregistrement lui-même et l’automatisation reste complète. Si la zone est hébergée ailleurs, il faut la modifier à la main tous les 90 jours ou mettre en place un accès API, rarement raisonnable pour une PME. Dans ce cas, un wildcard payant se justifie. Chez NovaHoster, les certificats OV, EV et wildcard démarrent à 24,90 € HT par an ; le détail des autorités et des niveaux est sur la page certificat SSL.

Certificat SSL gratuit ou payant : les cas où payer se justifie

Voici les situations dans lesquelles nous conseillons un certificat payant. Si aucune ne vous concerne, restez sur Let’s Encrypt.

Un client ou un appel d’offres l’exige. Certains cahiers des charges, surtout en B2B, dans le secteur public ou chez les grands comptes, demandent un certificat « OV ou supérieur » émis par une autorité commerciale. Le coût est marginal au regard du contrat.
Vous êtes un acteur réglementé. Banques, assurances, mutuelles, professions de santé, prestataires de paiement : la politique de sécurité interne ou l’auditeur impose fréquemment OV ou EV pour lier publiquement le certificat à la personne morale.
Vous voulez une garantie et un interlocuteur. Les certificats commerciaux s’accompagnent d’une garantie financière plafonnée, qui couvre un cas rare (une émission fautive par l’autorité elle-même), et surtout d’un support capable de réémettre, révoquer ou débloquer une validation.
L’automatisation ACME est impossible. Équipements réseau, serveurs applicatifs anciens, environnements cloisonnés sans accès sortant, zone DNS inaccessible pour un wildcard : un certificat installé une fois et renouvelé à date fixe est plus fiable qu’un renouvellement à 90 jours qui échouera un jour sans prévenir.

SSL e-commerce : OV ou EV sont-ils obligatoires ?

Non. Aucune règle n’impose un niveau de validation pour vendre en ligne. Les prestataires de paiement et le standard PCI DSS exigent que les données circulent chiffrées, ce qu’un certificat DV assure ; la plupart des boutiques PrestaShop ou WooCommerce confient d’ailleurs la saisie de la carte à la page du prestataire. Ce qui compte, c’est un certificat valide sur tous les noms utilisés, une redirection HTTP vers HTTPS sans faille et des ressources garanties pour tenir la charge, ce que propose notre hébergement e-commerce.

Durée de validité : ce qui change jusqu’en 2029

La durée maximale d’un certificat public n’est pas fixée par le vendeur mais par le CA/Browser Forum. Elle était de 398 jours depuis 2020. Un vote d’avril 2025 a adopté une réduction progressive, de 398 jours vers 47 jours, qui a commencé en mars 2026 et s’achève en mars 2029. Concrètement :

un certificat payant « un an » ou « deux ans » correspond désormais à un abonnement ; l’autorité réémet le certificat plusieurs fois pendant la période, et chaque nouvelle version doit être installée ;
l’écart entre Let’s Encrypt (90 jours, automatisé) et un certificat payant (quelques mois, réinstallation manuelle ou outillée) se réduit mécaniquement ;
à l’horizon 2029, tous les certificats devront être renouvelés de façon automatisée. Le cas « automatisation impossible » devient un chantier à ouvrir, pas une solution durable.

Avant d’acheter, demandez à l’autorité ou au revendeur comment se déroulent les réémissions pendant l’abonnement. Dans Plesk, SSL It! permet d’installer un certificat commercial en collant le certificat, la clé privée et la chaîne intermédiaire ; prévoyez cette opération à chaque réémission si elle n’est pas automatisée.

Tableau comparatif : Let’s Encrypt, DV payant, OV, EV et wildcard

Certificat	Validation	Délai d’émission	Durée	Visuel navigateur	Cas d’usage	Coût
Let’s Encrypt (DV)	Contrôle du domaine, automatisé (fichier HTTP ou enregistrement DNS)	Quelques minutes	90 jours, renouvellement automatique	Indicateur standard, aucune mention d’entreprise	Sites vitrines, blogs, applications, boutiques avec paiement externalisé	Inclus chez NovaHoster
DV payant	Contrôle du domaine (fichier, DNS ou e-mail)	Quelques minutes à quelques heures	Maximum fixé par le CA/Browser Forum, en baisse progressive	Identique	Serveurs sans ACME, besoin de garantie et de support	Payant, à l’abonnement
OV	Domaine + existence légale, adresse, téléphone, habilitation du demandeur	1 à 3 jours ouvrés en général	Idem DV payant	Identique ; raison sociale visible dans les détails du certificat	Entreprises, extranets, exigences de clients ou d’appels d’offres	Payant, gamme dès 24,90 € HT/an
EV	Contrôles OV renforcés, documents signés, vérifications croisées	Plusieurs jours à deux semaines en général	Idem DV payant	Identique ; identité complète dans les détails, plus de barre verte	Banques, assurances, acteurs réglementés, politiques internes strictes	Payant, gamme dès 24,90 € HT/an
Wildcard	DV ou OV ; validation DNS obligatoire chez Let’s Encrypt	Minutes (DV) à quelques jours (OV)	90 jours (Let’s Encrypt) ou durée commerciale	Identique	Nombreux sous-domaines, environnements multiples	Gratuit via Let’s Encrypt si la zone DNS le permet ; sinon payant, gamme dès 24,90 € HT/an

La colonne « visuel navigateur » est la même partout : c’est elle qui tranche la plupart des débats. Chez NovaHoster, la gamme OV, EV et wildcard démarre à 24,90 € HT par an ; le prix exact dépend de l’autorité et du niveau de validation.

Erreurs fréquentes, quel que soit le certificat

Dans les tickets que nous traitons, les problèmes de certificat viennent rarement du certificat lui-même. Cinq erreurs reviennent sans cesse.

Contenu mixte. La page est en HTTPS mais charge une image, un script ou une police en http:// ; le navigateur avertit ou bloque la ressource. Cause typique : des URL absolues dans la base WordPress ou PrestaShop après une migration. Correction : rechercher-remplacer dans la base, puis contrôler la console du navigateur.
Certificat sur le mauvais nom. Le certificat couvre votredomaine.fr mais pas www.votredomaine.fr, ou un sous-domaine a été ajouté après l’émission. Le visiteur voit une erreur de type ERR_CERT_COMMON_NAME_INVALID. Correction : réémettre en incluant tous les noms, ou passer en wildcard.
Renouvellement expiré. Le domaine a changé de DNS, une règle .htaccess bloque le dossier .well-known/acme-challenge/, ou le certificat a été installé à la main et personne ne le suit. Correction : rétablir la validation, puis mettre un contrôle de date.
Redirection HTTP absente. Le certificat est en place mais http:// reste accessible sans redirection ; anciens liens et moteurs continuent d’utiliser la version non chiffrée. Correction : activer la redirection permanente dans SSL It!, en une seule étape vers l’URL canonique.
HSTS mal réglé. HSTS impose au navigateur de n’utiliser que HTTPS pendant la durée fixée par max-age. Activé trop tôt, avec includeSubDomains alors qu’un sous-domaine n’a pas de certificat, il rend le site inaccessible jusqu’à expiration du délai, sans possibilité de « passer outre ». Activez-le en dernier, avec une durée courte d’abord.

Si le blocage persiste, un ticket indiquant le nom exact concerné et le message du navigateur permet au support NovaHoster de vérifier le certificat réellement servi.

Liste de contrôle avant de choisir et après installation

Avant de choisir

Un client, un contrat ou un régulateur impose-t-il un niveau de validation ? Si oui, lequel, et l’avez-vous par écrit ?
Combien de noms et de sous-domaines doivent être couverts aujourd’hui, et dans deux ans ?
Le serveur peut-il renouveler automatiquement (ACME) ? La zone DNS est-elle sous votre contrôle si vous visez un wildcard ?
Qui suit l’expiration, et comment est-il alerté ?

Après installation

Le certificat couvre le domaine nu et www, plus le webmail si vous l’utilisez.
Toute URL http:// redirige en 301 vers son équivalent HTTPS, en une seule étape.
Aucun avertissement de contenu mixte sur la page d’accueil, une page produit et le formulaire de contact.
La date d’expiration est surveillée ; pour Let’s Encrypt, le renouvellement automatique est actif dans Plesk.
HSTS est activé seulement après validation complète, sans includeSubDomains si un sous-domaine n’est pas couvert.
Pour un certificat payant : clé privée et certificat sauvegardés hors du serveur, date de réémission au calendrier.

Pour résumer : Let’s Encrypt pour la plupart des sites professionnels, OV quand une tierce partie l’exige ou que votre politique de sécurité le prévoit, EV pour les acteurs réglementés, wildcard pour les parcs de sous-domaines. Dans tous les cas, c’est la configuration, pas le prix du certificat, qui fait la qualité du HTTPS.

Questions fréquentes

Un certificat SSL gratuit est-il aussi sécurisé qu’un certificat payant ?

Oui pour le chiffrement. Un certificat Let’s Encrypt utilise les mêmes algorithmes et les mêmes longueurs de clé qu’un certificat commercial ; la robustesse réelle dépend de la configuration TLS du serveur, pas du prix. Le certificat payant apporte autre chose : une identité d’entreprise vérifiée (OV, EV), une garantie contractuelle plafonnée et un support de l’autorité de certification.

Quelle est la différence entre un certificat DV, OV et EV ?

DV (Domain Validation) vérifie seulement que le demandeur contrôle le domaine ; émission en minutes. OV (Organization Validation) vérifie en plus l’existence légale de l’entreprise, son adresse et l’habilitation du demandeur ; comptez en général un à trois jours ouvrés. EV (Extended Validation) applique des contrôles plus stricts et documentés, en quelques jours à deux semaines. Le chiffrement est identique dans les trois cas.

Les navigateurs affichent-ils encore la barre verte des certificats EV ?

Non. Depuis 2019, Chrome et Firefox n’affichent plus le nom de l’entreprise dans la barre d’adresse, et les autres navigateurs principaux ont suivi. DV, OV et EV présentent aujourd’hui le même indicateur. L’identité de l’organisation reste consultable dans les détails du certificat, après un clic sur cet indicateur, ce que très peu de visiteurs font. L’intérêt d’EV tient aux exigences d’audit, pas à l’affichage.

Faut-il un certificat SSL payant pour un site e-commerce ?

Non. Aucune règle n’impose OV ou EV pour vendre en ligne. Les prestataires de paiement et le standard PCI DSS exigent que les données circulent chiffrées, ce qu’un certificat Let’s Encrypt assure. L’essentiel est un certificat valide sur tous les noms du site, une redirection HTTP vers HTTPS complète et un hébergement capable de tenir la charge. Une boutique peut choisir OV pour sa politique de sécurité, sans obligation.

Comment obtenir un certificat wildcard gratuit avec Let’s Encrypt ?

Let’s Encrypt émet des wildcards (*.votredomaine.fr) uniquement par validation DNS-01 : un enregistrement TXT doit être publié dans la zone DNS à chaque émission et à chaque renouvellement. Dans Plesk, l’extension SSL It! peut gérer cet enregistrement si la zone est hébergée sur le même serveur. Si votre DNS est ailleurs, l’opération devient manuelle tous les 90 jours, et un wildcard payant est souvent plus raisonnable.

Pourquoi un certificat Let’s Encrypt ne dure-t-il que 90 jours ?

Let’s Encrypt a choisi une durée courte pour limiter les dégâts en cas de vol de clé et pour imposer l’automatisation du renouvellement, qui se fait en général tous les 60 jours. Cette logique se généralise : le CA/Browser Forum a voté en 2025 une réduction progressive de la durée maximale de tous les certificats publics, de 398 jours vers 47 jours à l’horizon 2029, gratuits comme payants.

Que se passe-t-il si mon certificat Let’s Encrypt n’est pas renouvelé ?

À l’échéance, les navigateurs affichent une page d’avertissement bloquante et la plupart des visiteurs quittent le site ; les appels d’API et les webhooks échouent aussi. Les causes habituelles sont un DNS qui ne pointe plus vers le serveur, une règle de réécriture qui bloque le dossier de validation, ou un certificat installé à la main. Depuis juin 2025, Let’s Encrypt n’envoie plus d’alerte par e-mail : surveillez la date dans Plesk.

Peut-on installer un certificat payant NovaHoster sur un site hébergé ailleurs ?

Oui. Les certificats OV, EV et wildcard vendus par NovaHoster sont émis par des autorités commerciales reconnues et se commandent indépendamment de l’hébergement. Vous recevez le certificat et la chaîne intermédiaire, et vous conservez la clé privée générée avec la demande de signature ; ils s’installent sur tout serveur ou panneau qui accepte un certificat tiers. Le Let’s Encrypt inclus, lui, est lié aux hébergements NovaHoster.

Guides liés

Pour aller plus loin sur le même sujet, et sur ce qui l’entoure :

Sources techniques

[1] Let’s Encrypt — FAQ : certificats DV uniquement, validité de 90 jours, wildcard par DNS-01 [2] Let’s Encrypt — Rate Limits (limites de débit d’émission) [3] Let’s Encrypt — Ending Support for Expiration Notification Emails [4] CA/Browser Forum — Baseline Requirements for TLS Server Certificates [5] CA/Browser Forum — Ballot SC-081v3 : calendrier de réduction de la durée de validité des certificats [6] ANSSI — Recommandations de sécurité relatives à TLS

Votre situation ne correspond pas exactement à ce guide ?

Les options visibles et les formules dépendent de votre abonnement. Faites vérifier le contexte depuis l’Espace client, sans transmettre de mot de passe.

Demander une vérification

Let’s Encrypt ou certificat SSL payant : lequel choisir pour un site professionnel