Résumé

  • Fastly compte les noms de domaine TLS activés à la fin du mois, même lorsque le certificat est expiré. Le nombre de fichiers de certificats ne constitue pas l’unité de ce décompte.
  • Un certificat fourni par le client laisse des responsabilités de renouvellement chez celui-ci et des noms hébergés dans le compteur. Certains passages entre l’ancien service et Fastly TLS peuvent aussi laisser courir un engagement antérieur.

Les courriels peuvent se taire avant le compteur. Pour un certificat géré par le client, Fastly affiche des avertissements trente jours avant l’expiration et adresse des rappels périodiques aux superutilisateurs. Une fois le certificat expiré, les notifications automatiques cessent. Le nom de domaine, lui, peut rester dans la quantité facturée s’il est toujours activé à la fin du mois.

Ce décalage se lit dans deux documents officiels qui parlent du même service sous des angles différents. Le guide des certificats fournis par le client décrit les avertissements et leur fin. Les options de service TLS précisent le comptage : les domaines activés en fin de mois entrent dans le calcul, que le certificat soit valide ou expiré. Une échéance de sécurité n’est pas une instruction de retrait commercial.

Le sujet concerne directement les entreprises qui exploitent des sites pour d’autres. Elles doivent fournir un point d’accès HTTPS valide, organiser les renouvellements et payer le service hébergeant les noms. Une seule mention « certificat traité » dans une tâche ne prouve pas que ces trois obligations ont été réglées.

Le compteur lit les noms, pas la chemise

Un certificat peut porter plusieurs entrées : domaine principal, sous-domaine, nom générique. Fastly les traite chacune comme un élément et combine les noms des certificats gérés par le client avec ceux des certificats gérés par la plateforme. La quantité dépend des domaines TLS activés en fin de mois. Elle ne se confond ni avec le nombre de documents téléchargés ni avec le nombre de visites reçues.

L’intérêt commercial du regroupement dans un fichier a donc une limite précise. Administrer un certificat commun peut réduire certaines manipulations, mais cette organisation documentaire ne remplace pas l’unité tarifaire. Compter les fichiers pour prévoir le coût des noms revient à prendre la chemise pour son contenu.

La page tarifaire actuelle place les certificats apportés par le client dans la même ligne que le TLS géré avec une autorité non lucrative. Elle y affiche un tarif de dépassement de 20 dollars par domaine et par mois. Apporter la pièce ne retire donc pas, à lui seul, le nom du service hébergé. Pour établir la facture réelle, il faut connaître l’allocation du compte, les activations en fin de mois et le tarif contractuel.

Le client conserve une partie du travail ; le fournisseur conserve une unité de facturation. C’est un échange parfaitement lisible, à condition que l’acheteur ait distingué l’achat du certificat de l’exploitation de l’accès sécurisé.

Expiré n’est pas désactivé

La validité du certificat sert à présenter une identité acceptable lors de la connexion. L’activation du domaine relève d’un réglage de service. Les deux états peuvent diverger. Si un nom dispose d’un autre certificat valide, l’expiration d’un fichier ne suffit pas à conclure que tout le service a cessé. Si la seule identité disponible est expirée, le décompte des noms ne répare pas l’accès HTTPS.

Voilà pourquoi la liste facturable n’est pas un certificat de bonne santé du service. Elle répond à une autre question : quels noms restent activés au moment retenu par la règle ? Le client attend une connexion utilisable ; le compteur constate un état administratif.

Le retrait demande lui aussi une décision. Le guide explique que désactiver tous les certificats d’un domaine empêche Fastly d’y servir du trafic TLS. Pour supprimer un certificat fourni par le client, il faut d’abord désactiver TLS pour tous les domaines qui lui sont associés. Un fichier partagé peut donc porter plusieurs obligations de service. Le nettoyer sans examiner ces liens transforme une initiative d’économie en changement de production.

La bonne économie commence par les noms devenus inutiles et leurs dépendances réelles. La date imprimée dans le certificat ne fait pas cet inventaire à la place de l’opérateur.

Le travail apporté par le client reste du travail

Les conditions préalables TLS demandent des droits de gestion adaptés, la capacité de modifier les enregistrements DNS pertinents et des domaines placés sur un service configuré. Le client qui gère ses certificats fournit également un certificat valide et la clé correspondante. Ces éléments relient un document à une capacité de service ; posséder le document seul ne réalise pas tout le travail.

Dans la voie gérée par Fastly, la plateforme organise l’obtention et le renouvellement par ACME. Les conditions DNS ou CAA peuvent néanmoins empêcher une nouvelle délivrance. Les tentatives en arrière-plan ne prouvent pas que l’identité présentée est encore valide, pas plus qu’elles ne prouvent le retrait du nom du décompte.

Le choix entre gestion interne et gestion déléguée concerne donc l’allocation du travail et de l’accès. Il mérite d’être comparé sur les tâches réellement retirées à l’équipe : suivi des échéances, fourniture de la nouvelle pièce, autorisations et contrôle du résultat. La présence du client dans la chaîne n’abolit pas l’hébergement TLS facturé séparément.

Une nouvelle pièce peut aussi franchir une frontière de contrat

Le même document de conditions préalables décrit un cas plus délicat : l’ancien Customer-Provided TLS Certificate Hosting Service. Mettre à jour un certificat déjà fourni peut conserver ce service sans changement de facture. Retirer l’ancien certificat puis en charger un nouveau avec Fastly TLS fait entrer le nouveau dans le calcul de Fastly TLS ; l’ancien reste facturé selon l’engagement contractuel applicable.

La distinction porte sur le chemin emprunté et le produit concerné. Une équipe peut appeler les deux opérations « renouvellement » alors que leur portée financière diffère. Le geste technique ne résilie pas, par sa seule existence, une durée déjà convenue. Avant la migration, le responsable de la dépense doit donc savoir quel service demeure engagé et lequel commence à compter.

Ce cas donne sa mesure au problème général. L’entreprise achète un accès sécurisé valide, mais elle administre des noms, des certificats, des activations et des engagements qui ont des fins différentes. Le fournisseur facture selon les règles de son produit. À l’acheteur d’éviter qu’un objet devenu inutile reste sans décision de retrait, ou qu’un objet encore utile soit supprimé au nom d’une ligne de coût.

Le certificat a une échéance. Le service doit avoir un responsable jusqu’à sa dernière activation. Sans ce second calendrier, la fin des rappels peut être le moment où l’entreprise devient la moins attentive à ce qu’elle continue de compter.