Télécharger les sites web qui utilisent Let's Encrypt

À propos de Let's Encrypt

Presque tous les sites du web public sont aujourd’hui servis en HTTPS, et une large part de ces certificats vient de Let's Encrypt. Notre décompte ne dit pas cela. En octobre 2026 nous enregistrons l’autorité de certification sur 16 373 sites, un chiffre qui parle de détection et non de délivrance, et la différence mérite d’être comprise avant que le chiffre ne serve à quoi que ce soit.

Internet Security Research Group a lancé l’autorité en 2016 et distribue ses certificats gratuitement sous une licence Open Source, la délivrance et le renouvellement étant automatisés par le protocole ACME, de sorte que les panneaux d’hébergement, les panneaux d’administration et les serveurs web peuvent en demander sans intervention humaine. La délivrance automatisée et gratuite explique pourquoi l’autorité est devenue omniprésente, et c’est justement cette omniprésence qui rend incomplet un décompte fondé sur une empreinte. Un passage de robot attribue un certificat quand la chaîne de certification, le champ émetteur ou la configuration environnante est capturé et reconnu, et il n’attribue rien quand un proxy, un CDN ou un répartiteur de charge présente son propre certificat devant l’origine.

Un signal partiel reste un signal dès lors que l’on sait sur quoi porte la lacune. Les sites qui terminent eux-mêmes le TLS, sur leur propre serveur, avec leur propre certificat, sont exactement ceux où la détection fonctionne, et ils forment aussi une population intéressante pour beaucoup de questions. Une terminaison TLS assurée en interne suppose un vrai serveur avec un administrateur, une procédure de renouvellement qui peut échouer et une configuration qui peut se démoder, ce qui explique pourquoi les hébergeurs, les fournisseurs de services infogérés, les scanners de sécurité et les produits de gestion de certificats s’intéressent à qui fait partie de ce groupe.

La géographie va dans le même sens. 5 156 des détections se trouvent en Corée du Sud, et l’extension .com traverse toute la liste, une répartition qui reflète quels écosystèmes d’hébergement délivrent des certificats de façon directement visible, plutôt que quels pays ont adopté le chiffrement. Lire le champ pays comme une mesure d’adoption serait une erreur. Le lire comme une carte des endroits où un certain mode d’hébergement est répandu est légitime.

Rien de tout cela ne se reconstitue un domaine après l’autre, et c’est pourtant domaine par domaine que la question se pose d’habitude. Un navigateur indique à n’importe quel visiteur qui a émis le certificat du site qu’il a sous les yeux. Ce qu’aucun navigateur ne vous dira, c’est comment une population de domaines se répartit par émetteur, comment cette répartition bouge d’un pays et d’une extension à l’autre, et quelle part assure sa propre terminaison au lieu de se cacher derrière la bordure de quelqu’un d’autre. La liste téléchargeable est la forme sous laquelle cette question peut réellement recevoir une réponse.