Le certificat et l'autorité de certification

Un certificat est un document qui lie un nom de domaine à une clé publique, et que quelqu'un a signé.

Ce qu'il contient

Subject      : exemple.com
Public Key   : 30 82 01 0a 02 82 01 01 00 c3 ...
Issuer       : Example CA X3
Validity     : 2026-01-15  ->  2026-04-15
Signature    : 5f 2a 91 ...

Ces intitulés sont en anglais parce que ce sont ceux du format lui-même : tu les retrouveras tels quels en ouvrant un certificat dans ton navigateur.

Le format s'appelle X.509. L'élément essentiel est la signature : l'autorité a calculé une empreinte de tout le reste et l'a signée avec sa clé privée.

La vérification

Ton navigateur vérifie cette signature avec la clé publique de l'autorité, qu'il possède déjà. Si elle est valide, il sait que l'autorité a bien émis ce certificat et que personne ne l'a modifié depuis.

Remarque que le certificat n'est pas secret. Il est envoyé en clair à quiconque se connecte. Le posséder ne prouve rien — souviens-toi du message CertificateVerify, qui exige la clé privée.

Comment on l'obtient

L'autorité doit vérifier que tu contrôles bien le domaine. En pratique, elle te demande de publier une valeur précise à un endroit que seul le propriétaire peut modifier :

• un fichier à une adresse donnée du site ;
• ou un enregistrement DNS particulier.

C'est ce qu'automatise le protocole ACME, utilisé par Let's Encrypt, qui a rendu les certificats gratuits et automatiques.

Les niveaux de validation

Trois niveaux existent, et la distinction est moins utile qu'on ne le croit :

• DV (validation du domaine) : contrôle du domaine seulement. La quasi-totalité des certificats ;
• OV (organisation) : quelques vérifications sur l'entreprise ;
• EV (étendue) : contrôles approfondis.

Les navigateurs affichaient jadis une barre verte pour l'EV. Ils l'ont retirée : les études ont montré que personne ne la remarquait, et que sa présence n'améliorait aucune décision. Aujourd'hui, les trois niveaux donnent le même cadenas.