Le cadenas gratuit suffit-il, ou faut-il payer le sien
Ou : le chiffrement est le même ; ce qui se vend, c’est un dossier de vérification et une assurance.
La réponse courte : pour un site vitrine, un blog ou une petite boutique, le certificat SSL gratuit de Let’s Encrypt suffit, parce qu’il chiffre la connexion exactement comme un certificat payant. Infomaniak l’écrit lui-même sur sa page de certificats : les certificats Let’s Encrypt garantissent « le même niveau de chiffrement » que ses certificats DV ou EV payants. Ce que l’on achète en plus, c’est la vérification de l’identité de l’entreprise, une garantie financière et un support. OVHcloud vend ainsi un certificat Sectigo DV et un certificat Sectigo EV en option de ses hébergements, alors qu’il installe par défaut et gratuitement un certificat Let’s Encrypt sur chacun d’eux. Le prix compte d’ailleurs moins que le renouvellement automatique, la vraie question de la sécurité côté hébergeur en matière de HTTPS.
Car les certificats raccourcissent. Depuis le 15 mars 2026, aucun certificat public ne peut dépasser 200 jours ; ce sera 100 jours en mars 2027, puis 47 jours en mars 2029. Un abonnement payant « d’un an » couvre donc déjà au moins deux certificats successifs, et quelqu’un doit les installer à temps. Sur un mutualisé, ce quelqu’un est l’hébergeur, à condition que le renouvellement soit automatique.
Pour qui : une petite entreprise ou un indépendant qui veut un site en HTTPS sans jamais penser au renouvellement du certificat.
À partir de : 5,75 € HT par mois pour l’hébergement web Infomaniak, facturé à l’année par défaut, sans prix promotionnel affiché (relevé du 12 novembre 2026), certificat Let’s Encrypt inclus.
Pour démarrer : commander l’hébergement web Infomaniak, rattacher le domaine, puis activer le certificat gratuit depuis le Manager.
Certificat SSL gratuit ou payant : Let’s Encrypt, DV, OV et EV comparés
| Certificat | Ce qui est vérifié | Délai annoncé | Garantie annoncée | Prix relevé |
|---|---|---|---|---|
| Let’s Encrypt (DV) | le contrôle du domaine, automatiquement | émission automatique | aucune | gratuit, inclus chez OVHcloud et Infomaniak |
| Sectigo DV chez OVHcloud | le contrôle du domaine | 1 heure | jusqu’à 500 000 dollars | 54,99 € HT par an, 65,99 € TTC |
| OV | le domaine et l’existence de l’organisation | variable | variable | absent des options d’hébergement d’OVHcloud |
| Sectigo EV chez OVHcloud | le domaine, la société et ses documents | 15 jours après réception des documents | jusqu’à 1 750 000 dollars | 109,99 € HT par an, 131,99 € TTC |
Relevé le 12 novembre 2026 sur la page des certificats SSL d’OVHcloud, qui réserve ces deux offres payantes à ses propres hébergements. Les certificats DV et EV de Sectigo que vend Infomaniak n’ont pas été chiffrés ici : leur prix ne s’affichait pas de façon fiable lors du relevé.
La garantie mérite une lecture attentive. Infomaniak la décrit comme une protection de vos utilisateurs contre une erreur de validation commise par Sectigo, l’autorité qui délivre le certificat. Elle ne couvre ni le piratage de votre site, ni une base de données volée, ni une page d’hameçonnage hébergée chez vous. C’est l’assurance d’un serrurier sur la serrure qu’il a posée, pas une assurance habitation.
L’argument visuel de l’EV a disparu en 2019 : Chrome 77, en septembre, puis Firefox 70, en octobre, ont retiré le nom de l’entreprise de la barre d’adresse. Il ne s’affiche plus qu’en cliquant sur le cadenas, ce que peu de visiteurs font avant de payer. Un certificat EV reste utile quand un client, un auditeur ou un marché public l’exige ; pour rassurer un visiteur, il ne se voit plus.
Reste le calendrier, qui pèse plus lourd que le prix :
| Date | Durée maximale d’un certificat public | Let’s Encrypt, profil par défaut |
|---|---|---|
| jusqu’au 14 mars 2026 | 398 jours | 90 jours |
| depuis le 15 mars 2026 | 200 jours | 90 jours (45 jours en option depuis le 13 mai 2026) |
| 10 février 2027 | 200 jours | 64 jours |
| 15 mars 2027 | 100 jours | 64 jours |
| 16 février 2028 | 100 jours | 45 jours |
| 15 mars 2029 | 47 jours | 45 jours |
Sources : le vote SC-081v3 du CA/Browser Forum, clos le 11 avril 2025 sans aucune voix contre, et l’annonce de Let’s Encrypt du 2 décembre 2025, qui déconseille le renouvellement manuel.
À 45 jours, un certificat installé à la main devient une corvée toutes les six semaines, et une panne assurée le jour où l’on oublie. Avant de payer un certificat, demandez donc à l’hébergeur s’il le réinstallera seul à chaque réémission. Pour le certificat gratuit, OVHcloud répond par écrit : il indique que son certificat Let’s Encrypt « sera renouvelé automatiquement (et gratuitement) sans intervention nécessaire de votre part ».
Quand le renouvellement automatique échoue
Le renouvellement automatique n’est pas magique : il suppose que le domaine pointe vers l’hébergement et que rien n’interdit à l’autorité de délivrer le certificat. Un changement de DNS, un enregistrement CAA trop strict ou un proxy placé devant le site suffisent à le bloquer, et vos visiteurs voient alors une page d’alerte rouge. Les causes et les réparations sont détaillées dans le diagnostic de l’alerte HTTPS.
Le cadenas ne prouve pas l’honnêteté
Un certificat DV gratuit s’obtient pour n’importe quel domaine que l’on contrôle, y compris un domaine imitant celui de votre hébergeur. Le cadenas dit que la connexion est chiffrée, pas que le site est légitime : c’est tout le ressort des faux courriels de renouvellement décrits dans le guide sur l’hameçonnage des comptes d’hébergement.