Résumé
Une autorité de certification (CA) est une organisation de confiance qui délivre des certificats numériques et des clés cryptographiques afin de vérifier la propriété de sites web et d’autres entités numériques. Les sites web dépourvus d’un certificat valide délivré par une autorité de certification risquent de perdre la confiance des visiteurs et peuvent être pénalisés dans les classements des moteurs de recherche. Il n’existe qu’un nombre limité d’autorités de certification reconnues à l’échelle mondiale, et collaborer avec un fournisseur non affilié ou non reconnu peut exposer votre site à des risques de sécurité majeurs.
Comprendre les autorités de certification et la vérification numérique
Une autorité de certification peut vous aider à prouver que vous possédez une entité numérique telle qu’un site web ou une adresse e‑mail. Cette même organisation peut émettre des clés cryptographiques utilisées pour protéger les informations contre les hackers et autres acteurs malveillants.
Certaines personnes utilisent des autorités de certification pour la vérification humaine. Après avoir établi un partenariat avec une entreprise reconnue, ces personnes peuvent, par exemple, ouvrir des comptes courants ou franchir des frontières sans formalités administratives contraignantes.
Mais la plupart des personnes et des entreprises font appel à une autorité de certification pour les aider à prouver la propriété numérique et à protéger des actifs essentiels. Nous allons nous concentrer ici sur ce cas d’usage.
Qu’est-ce qu’une autorité de certification ?
Comme son nom l’indique, une autorité de certification délivre des certificats aux personnes ou organisations autorisées. Vous ne connaissez peut-être pas ces entreprises de manière explicite, et si vous n’avez jamais créé de site web, vous ne les avez jamais contactées directement. Mais chaque fois que vous consultez un site web protégé, vous avez besoin des autorités de certification pour vous aider.
Une autorité de certification fournit deux éléments :
- Certificats numériques : ces petits fichiers de données contiennent des identifiants d’identité.
- Clés cryptographiques : ces éléments de données peuvent chiffrer et protéger les données en transit.
Analysons cela plus en détail.
Comment une autorité de certification vérifie-t-elle la propriété ?
Une autorité de certification est une organisation de confiance qui certifie la propriété du site. Une fois cette étape terminée (nous y reviendrons dans un instant), l’entreprise délivre un certificat officiel signé à l’aide de sa clé cryptographique. Chaque fois que votre navigateur souhaite vérifier que vous consultez un site validé par une autorité de confiance, il peut rechercher cette clé comme preuve. Si votre navigateur détermine que le site est sécurisé, les deux échangent des clés cryptographiques pour chiffrer et déchiffrer les données.
Si votre site web ne se connecte pas à une autorité de certification, vos visiteurs verront apparaître une boîte de dialogue les informant du problème. En général, ces avertissements informent les utilisateurs que les sites qu'ils souhaitent consulter ne sont tout simplement pas fiables. Les visiteurs peuvent passer outre ces avertissements et accéder tout de même au site. Mais certains ne prendront pas ce risque.
Comment fonctionnent les autorités de certification ?
Collaborer avec des autorités de certification (CA) peut rassurer les visiteurs quant à la sécurité et à la fiabilité de votre site. Il est relativement simple de commencer.
Une fois que vous avez choisi le bon partenaire de certificats, vous suivrez les étapes suivantes :
Validation : Certaines entreprises utilisent l’e-mail pour vérifier l’identité. Les adresses indiquées comme contact administratif doivent répondre à une notification pour lancer la procédure. D’autres entreprises vont plus loin pour vérifier qu’une source de confiance soutient réellement le site.
Génération : Vous allez générer une paire de clés cryptographiques, l’une publique et l’autre privée. Vous devrez également remplir un formulaire de demande de signature de certificat. Vous transmettrez tous ces éléments à votre partenaire d’entreprise.
Vérification : L’entreprise examinera vos documents et vos clés. Si tout est en ordre, l’entreprise utilisera une clé publique cryptographique pour signer votre certificat. Vous recevrez une clé privée émettrice ainsi que votre certificat signé.
stocké : Vous placerez votre certificat et les clés appropriées sur votre site web.
Quels sont les risques liés à une validation insuffisante des certificats ?
Des vulnérabilités sont présentes ici. Si vous travaillez avec une entreprise qui propose des processus de validation minimaux, il est relativement facile pour des pirates informatiques de franchir vos obstacles. Vos visiteurs ne seront pas aussi en sécurité qu’ils le croient.
Toute personne qui héberge un site web devrait s’intéresser à la certification. Après tout, Google souhaite le chiffrement sur tous les sites web, et l'entreprise peut pénaliser ceux qui ne respectent pas cette exigence. Sans certificat, Google pourrait déclasser votre site dans les résultats de recherche.
Qu'est-ce que les autorités de certification ?
Bien que les autorités de certification jouent un rôle essentiel dans le monde connecté d’aujourd’hui, elles sont peu nombreuses.
Selon les chercheurs, seules sept entreprises traitent la majorité des demandes d’AC. Les voici :
DigiCert
Sectigo
GoDaddy
GlobalSign
Confier
Trustwave
Solutions réseau
Toutes les entreprises mentionnées ici s’engagent à respecter les organisations de supervision du secteur, telles que le Conseil de sécurité des autorités de certification, le Forum des normes de sécurité informatique communes, et d’autres. Méfiez-vous de tout groupe non affilié qui tente de vous vendre un certificat. Vous pourriez avoir affaire à un imposteur.
Nous avons évoqué brièvement les clés cryptographiques dans cet article de blog. Si vous ne savez pas exactement ce que signifie ce terme ou comment fonctionnent les clés, nous avons rédigé un article complet sur le chiffrement à clé publique que nous vous invitons à consulter.
Foire aux questions (FAQ)
Que fait concrètement une autorité de certification ?
Une autorité de certification vérifie qu’une personne ou une entreprise possède légitimement une entité numérique, comme un site web, puis délivre un certificat numérique signé et des clés cryptographiques permettant de prouver cette propriété aux navigateurs et aux visiteurs.
Pourquoi mon site web a‑t‑il besoin d’un certificat délivré par une autorité de certification ?
Sans certificat valide, les navigateurs afficheront un avertissement à vos visiteurs indiquant que le site n’est pas fiable. De plus, Google peut pénaliser les sites non certifiés dans les classements de recherche, ce qui réduit la visibilité de votre site.
Quelles sont les étapes pour obtenir un certificat auprès d’une autorité de certification ?
Le processus comprend quatre étapes : valider votre identité, générer une paire de clés cryptographiques et une demande de signature, faire vérifier et signer votre certificat par l’autorité, puis stocker le certificat émis et les clés sur votre site web.
Comment savoir si une autorité de certification est légitime ?
Les autorités de certification réputées sont affiliées à des organisations de supervision reconnues dans le secteur, telles que le Certificate Authority Security Council et le Common Computing Security Standards Forum. Soyez vigilant face à tout groupe non affilié proposant des certificats, car il pourrait s’agir d’imposteurs.
Quelles entreprises figurent parmi les autorités de certification les plus utilisées ?
Selon les études du secteur, sept entreprises traitent la majorité des demandes auprès d’une autorité de certification : DigiCert, Sectigo, GoDaddy, GlobalSign, Entrust, Trustwave et Network Solutions.
Que se passe-t-il si une autorité de certification utilise des procédures de validation peu rigoureuses ?
Si une autorité de certification ne vérifie pas rigoureusement l’identité, les hackers peuvent plus facilement obtenir des certificats frauduleux. Cela crée un faux sentiment de sécurité pour vos visiteurs, qui peuvent croire se trouver sur un site de confiance alors que ce n’est pas le cas.
Références
Les dangers des certificats numériques et comment les contrer. (août 2013). eSecurity Planet.
Conseil de sécurité (ST05-010). (novembre 2019), Agence de cybersécurité et de sécurité des infrastructures.
Chiffrement HTTPS sur le Web. Google.
Le marché mondial des autorités de certification TLS. (2019). Frost and Sullivan.
