En France, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) qualifie des autorités de certification comme Certigna ou ChamberSign France dans le cadre du RGS (Référentiel Général de Sécurité) et du règlement européen eIDAS, pour les usages administratifs et gouvernementaux. Cette chaîne de confiance qualifiée est totalement distincte de celle que suivent les navigateurs pour valider un certificat TLS ordinaire.
Quels champs composent un certificat
- Subject — à qui le certificat a été délivré (un domaine, une organisation, ou une personne dans un contexte administratif).
- Issuer — qui a délivré le certificat (une autorité de certification, ou CA).
- Période de validité — les dates de début et de fin de validité du certificat.
- Clé publique — la clé utilisée pour établir une connexion sécurisée ou vérifier une signature.
- Signature numérique — la signature de l'émetteur, confirmant l'authenticité de tous les autres champs.
Même format, chaîne de confiance différente
Un certificat qualifié RGS et le certificat TLS d'un site utilisent exactement la même structure X.509 et le même mécanisme de chaîne de confiance : une CA intermédiaire signe le certificat final, et une CA racine signe l'intermédiaire. La différence tient uniquement au magasin de confiance qui l'interroge : les logiciels de l'administration font confiance aux racines qualifiées par l'ANSSI, tandis que le navigateur fait confiance à un tout autre ensemble de racines commerciales pour HTTPS — les deux chaînes n'ont jamais besoin de se rejoindre.
Pourquoi la période de validité est limitée
Une période de validité limitée (généralement 90 jours à 1 an pour les certificats web modernes) réduit les risques liés à une clé privée compromise et impose une mise à jour régulière des paramètres cryptographiques conformément aux standards de sécurité actuels.
Pourquoi c'est utile
- Diagnostiquer des problèmes de certificats SSL lors de la configuration d'un serveur web.
- Vérifier la période de validité et l'émetteur d'un certificat sans passer par des services externes.
- Comprendre la structure d'un certificat lors du travail avec mTLS, des certificats client ou des systèmes qualifiés RGS.
Certificats auto-signés
Un certificat peut être signé avec sa propre clé privée au lieu d'une CA quelconque — il est structurellement identique à un « vrai » certificat X.509, avec les mêmes champs, mais son émetteur (Issuer) et son objet (Subject) coïncident. C'est la même question de confiance poussée à l'extrême : la chaîne ne mène nulle part, donc rien en dehors de votre propre configuration n'a de raison de lui faire confiance — ce qui le rend parfait pour des tests internes, mais signalé partout ailleurs.