Certificats numériques expliqués : les cartes d'identité d'Internet
Un certificat numérique (certificat X.509) est un document électronique liant une identité à une clé publique, vérifié par un tiers de confiance (Autorité de Certification, AC). C'est la pierre angulaire de la PKI (Infrastructure à Clés Publiques).
Champs du certificat (Analogie : permis de conduire)
| Champ | Analogie | But |
|---|---|---|
| Sujet | Nom, photo | Entité identifiée (domaine, org, personne, appareil) |
| Émetteur | Préfecture | AC qui a signé (DigiCert, Let's Encrypt, GlobalSign, AC interne) |
| Période validité | Date expiration | Not Before / Not After (typiquement 90 jours – 1 an public ; jusqu'à 10 ans privé) |
| Clé publique | — | Utilisée pour chiffrer vers sujet / vérifier signatures sujet |
| Algorithme signature | — | ex. SHA-256 avec RSA / ECDSA |
| Extensions | Restrictions (moto seulement) | Key Usage, Subject Alt Names (SAN), OCSP, CRL, politiques CA/Browser Forum |
| Numéro série | Numéro permis | Unique par émetteur |
Types courants
- TLS/SSL (HTTPS) : Validé domaine (DV), organisation (OV), validation étendue (EV).
- Signature code : Signe logiciels/binaires (Microsoft, Apple, Java).
- Auth client / S/MIME : Certificats utilisateur/appareil pour VPN, Wi-Fi (EAP-TLS), chiffrement/signature email.
- Signature documents : Adobe CDS, eIDAS qualifié.
Chaîne de confiance
AC Racine (hors ligne, dans magasin confiance OS/navigateur) → AC Intermédiaire → Certificat feuille (entité finale). Validation vérifie chaîne signatures, expiration, révocation (OCSP/CRL), correspondance nom.
Pourquoi ça importe
Permet confidentialité (chiffrement), authenticité (identité serveur), intégrité (détection altération), non-répudiation (signatures numériques). Sans certificats, pas HTTPS, pas email sécurisé, pas réseaux zero-trust.