Certificate Management Service:Renouvellement et expiration des certificats SSL

Prérequis

Le renouvellement d'une instance de certificat d'abonnement V2.0 nécessite que toutes les conditions suivantes soient remplies :

• Le statut de l'instance de certificat est Issued ou About to Expire.

• La marque GlobalSign ne prend actuellement pas en charge le renouvellement.

• Le certificat se trouve sous l'onglet Commercial Certificates.

• Les certificats achetés avant le 06/05/2026 ne prennent actuellement pas en charge le renouvellement.

Procédure

1. Connectez-vous à la console SSL Certificate Management V2.0.

2. Sous l'onglet Commercial Certificates, repérez l'instance de certificat cible.

3. Dans la colonne Actions, cliquez sur Renew.

4. La page de renouvellement s'affiche. Suivez les instructions à l'écran pour finaliser le renouvellement.

   Une fois le renouvellement effectué, passez aux Opérations post-renouvellement pour soumettre une demande de certificat à l'autorité de certification et déployer le nouveau certificat.

Prérequis

Toutes les conditions suivantes doivent être remplies pour que l'option de renouvellement apparaisse :

• Le statut du certificat est Issued ou About to Expire.

• Le certificat expire dans les 15 jours.

Procédure

1. Accédez à la page SSL Certificate Management (V1.0 Discontinued).

2. Sous l'onglet Commercial Certificates, repérez le certificat cible. Dans la colonne Actions, cliquez sur Renewal purchase.

3. Dans le panneau Certificate renewal, configurez les paramètres suivants.

   • CSR Generation :

     Une CSR (Certificate Signing Request) est le fichier soumis à l'autorité de certification pour une demande de certificat. Elle contient le nom de domaine, la clé publique et les informations de sujet liées au certificat, signées par la clé privée. Sélectionnez Automatic (recommandé).

     • Automatic : Génère et héberge de manière sécurisée une nouvelle paire de clés (avec le même algorithme de clé que l'ancien certificat) et crée une nouvelle CSR.

       Remarque

       Cette méthode respecte les meilleures pratiques de sécurité en matière de rotation des clés.

     • Manual : Collez un fichier CSR généré dans votre propre environnement dans le champ CSR File. Les certificats émis avec cette option ne peuvent pas être déployés sur les services Alibaba Cloud via la console. Pour savoir comment créer un fichier CSR et une clé privée, consultez la section Créer un fichier CSR.

       Important

       • Assurez-vous que l'algorithme de chiffrement de la CSR saisie manuellement correspond à l'Encryption Algorithm de l'ancien certificat. Une incompatibilité empêche la soumission.

       • Conservez votre fichier de clé privée en toute sécurité. Alibaba Cloud ne le stocke pas. Si la clé privée est perdue, vous devez acheter un nouveau certificat SSL.

     • Original Key Inherited : Réutilise la paire de clés de l'ancien certificat pour générer une nouvelle CSR et émettre un nouveau certificat.

       Remarque

       Cette méthode ne suit pas les meilleures pratiques de rotation des clés et peut ne pas répondre aux exigences de conformité dans certains secteurs.

   • Domain Verification Method :

     Par défaut, utilise la même méthode de validation que celle employée pour l'ancien certificat.

   • Contact :

     Selon la méthode de validation du domaine, l'autorité de certification peut envoyer un message de validation de certificat par e-mail à ce contact ou le contacter par téléphone . Assurez-vous que les coordonnées sont exactes et à jour.

   • Renewal Period :

     La période de renouvellement représente uniquement la durée du service acheté, et non la période de validité réelle d'un certificat émis individuellement. Plusieurs certificats peuvent être nécessaires pour couvrir la durée du service acheté. La période de validité d'émission d'un seul certificat dépend des politiques de la marque du certificat. Pour plus d'informations, consultez la section Avis concernant les modifications de la période de validité des certificats SSL.

4. Cliquez sur Renewal immediately et suivez les instructions à l'écran pour finaliser le paiement.

   • Règle de paiement : Le système compense le coût avec votre quota de certificats restant (correspondant aux spécifications de cette demande) et les utilisations restantes du Managed Service. Vous ne payez que le solde restant.

   • Afficher le quota de certificats restant et les utilisations du Managed Service : Sous l'onglet Commercial Certificates, cliquez sur Create Certificate :

     • Utilisations restantes du Managed Service : Repérez le champ Validity Period (Years). Le nombre affiché après « Available Quota for Hosting Service: » correspond à votre quota restant actuel.

     • Quota de certificats restant : Après avoir sélectionné un Certificate Type, cliquez sur la liste déroulante Certificate Specifications. Le « Nombre de certificats disponibles » indique le quota restant pour chaque spécification.

5. Après le renouvellement, un ou plusieurs nouveaux certificats apparaissent sous l'ancien. Le nombre dépend de la période de validité d'émission d'un seul certificat. Pour plus d'informations, consultez la section Avis concernant les modifications de la période de validité des certificats SSL.

   • Les nouveaux certificats sont liés à l'ancien, indiqué par l'icône à gauche.

   • La validité de l'ancien certificat reste inchangée.

   • Le premier nouveau certificat affiche le statut Pending Application.

   • Les certificats restants affichent le statut Not Activated.

Quelle est la différence entre le renouvellement et l'achat direct ?

• Commercial Certificates : La méthode de calcul de la durée de l'abonnement diffère.

  • Renouvellement de certificat : La nouvelle date d'expiration est calculée à partir de la date d'expiration actuelle de l'abonnement. Par exemple, si l'abonnement initial expire le 1er juin 2026 et que vous le renouvelez pour 1 an le 16 mai 2026, le nouvel abonnement expire le 1er juin 2027.

  • Achat direct : Crée une nouvelle instance d'abonnement, totalement indépendante de l'instance d'abonnement du certificat d'origine.

• Uploaded : Aucune différence entre le renouvellement et l'achat direct. Dans les deux cas, la période de validité commence à partir de la première date d'émission du nouveau certificat.

Pourquoi la période de validité du certificat est-elle courte après l'achat d'un certificat de 2 ou 3 ans ?

La période de validité du certificat se compose de la période de validité de l'abonnement et de la période de validité d'émission. La période de validité de l'abonnement correspond à la durée achetée. La période de validité d'émission est spécifiée par l'autorité de certification lors de l'émission du certificat et évolue selon la politique du secteur. Par conséquent, la durée achetée n'est généralement pas égale à la période de validité d'émission. Si la validité d'émission du certificat expire au cours de la période d'abonnement, demandez un nouveau certificat dans la console Digital Certificate Management Service.

Comment demander une réémission lorsque la validité d'émission du certificat est sur le point d'expirer ?

L'option de demande de certificat s'ouvre 15 jours avant l'expiration de la validité d'émission. Effectuez la demande depuis la colonne Operations dans la liste des certificats.

Pourquoi ne puis-je pas trouver l'option de renouvellement dans la liste des certificats ?

• SSL Certificate Management (V1.0 Discontinued) : L'option de renouvellement s'ouvre dans les 15 jours précédant l'expiration. Les certificats dont l'expiration intervient dans plus de 15 jours n'affichent pas le bouton Renew.

• SSL Certificate Management V2.0 : Le bouton Renew est visible lorsque le statut du certificat est Issued ou About to Expire. Si vous ne voyez toujours pas le bouton Renew, confirmez les points suivants :

  • Vous vous trouvez sous l'onglet Commercial Certificates.

  • La marque GlobalSign ne prend actuellement pas en charge le renouvellement.

Pourquoi des enregistrements de certificats en double apparaissent-ils après le renouvellement ?

Dans SSL Certificate Management (V1.0 Discontinued), en fonction de la durée de service sélectionnée lors du renouvellement, un ou plusieurs nouveaux certificats apparaissent sous l'ancien (avec l'icône à gauche), indiquant qu'ils sont liés à l'ancien certificat.

Pourquoi le site web affiche-t-il toujours un avertissement « certificat expirant bientôt » après le renouvellement et le paiement ?

Après le paiement du renouvellement, vous devez finaliser le processus de demande pour qu'un nouveau certificat soit émis. Ensuite, déployez le nouveau certificat sur votre serveur web ou service cloud pour remplacer l'ancien.

Pour demander un nouveau certificat, consultez la section Soumettre une demande à l'autorité de certification (CA).

Pour déployer le nouveau certificat, consultez la section Sélectionner une solution de déploiement pour un certificat SSL.

Pourquoi le site web affiche-t-il toujours un avertissement « non sécurisé » ou « certificat expiré » après le déploiement du certificat renouvelé ?

Effectuez le dépannage en suivant les étapes ci-dessous :

• Vérifier le fichier de certificat déployé : Assurez-vous que le fichier du certificat nouvellement émis, et non l'ancien, est déployé sur votre serveur.

• Redémarrer le service web : Après avoir remplacé le fichier de certificat sur Nginx, Apache, Tomcat, IIS ou des serveurs web similaires, vous devez redémarrer ou recharger le service pour que le nouveau certificat prenne effet.

• Vider le cache de votre navigateur : Votre navigateur a peut-être mis en cache l'ancien certificat. Essayez d'actualiser la page de force (Ctrl+F5), de vider le cache du navigateur ou de visiter le site en mode navigation privée.

• Vérifier CDN ou WAF et autres services intermédiaires : Si vous utilisez un réseau de diffusion de contenu (CDN), un pare-feu d'applications web (WAF), Global Accelerator (GA) ou Server Load Balancer (SLB), vous devez également mettre à jour le certificat dans la console de chacun de ces services. Sinon, les utilisateurs recevront toujours l'ancien certificat expiré servi par ces services intermédiaires.

• Vérifier que la chaîne de certificats est complète : Les fichiers de certificats téléchargés depuis Alibaba Cloud incluent généralement la chaîne de certificats complète. Si vous l'assemblez manuellement, assurez-vous d'inclure le certificat serveur et tous les certificats intermédiaires.

Le certificat a expiré et le service est affecté. Comment rétablir rapidement le service ?

Si un certificat expiré perturbe le service, suivez cette procédure d'urgence pour rétablir rapidement le service. Remplacez ensuite le certificat temporaire par votre certificat commercial prévu.

• Purchase Certificate : Achetez immédiatement un certificat validé par domaine (DV) comme solution temporaire. Les certificats DV ont un processus de validation simple et sont émis rapidement.

• Certificate Application : Choisissez la validation DNS pour vérifier rapidement la propriété du domaine, souvent en moins de 10 minutes.

En attendant l'émission, localisez l'ancien certificat sur votre serveur afin d'être prêt pour le remplacement.

• Déployer le certificat : Une fois le nouveau certificat émis, déployez-le immédiatement sur votre serveur web (tel que Nginx ou Apache) ou service cloud.

• Remplacer par un certificat commercial : Le certificat DV est temporaire. Une fois le service rétabli, demandez un certificat avec vos spécifications d'origine (telles que la validation organisationnelle ou étendue) et remplacez le certificat DV dès que possible.

Pour éviter que cela ne se reproduise, activez les notifications de messages pour les certificats SSL et renouvelez les certificats avant leur expiration. Vous pouvez également activer le Managed Service. Le Managed Service soumet automatiquement une demande de certificat lorsque la validité d'émission du certificat est sur le point d'expirer.