Les certificats SSL

A quoi sert un certificat ?

Un certificat SSL (Secure Socket Layer) permet de sécuriser les échanges entre des internautes et un site web en activant le protocole https sur le port 443. Il est délivré par une autorité de certification (CA) qui s’assure en outre d’authentifier le serveur qui héberge le site web concerné (afin notamment de se prémunir contre le phishing).

Un certificat est généralement structuré selon le standard x.509 qui comprend les informations relatives à l’algorithme de chiffrement, la clé publique, la validité, la signature, la clé privé de l’autorité de certification [1]...

Et les clés de sécurité dans tout ça ?

Pour sécuriser les échanges, deux types de clés, privées et publiques sont nécessaires (la serrure et le clé).

Les clés publiques permettent de chiffrer les informations envoyées par l’internaute vers le serveur web. Elle sont accessibles par tous mais seule les clés privées présentes sur le serveur seront en mesure de déchiffrer les données. L’autorité de certification valide la clé publique et l’identité du site web.

2 types de certificats :

Les certificat SSL auto-signés

Les navigateurs ne reconnaissent pas l’autorité de certification (interne) et vous affichent un message de mise en garde. Les utilisateurs doivent donc passer outre cet avertissement et accepter les risques s’ils souhaitent continuer à naviguer sur le site.

On utilise généralement les certificats auto-signés dans le cadre de sites intranet afin de sécuriser l’accès à certaines applications sur un réseau local.

Les certificat SSL signés par un organisme de certification

Ils sont utilisés dans le cadre de la sécurisation de sites publiques. L’autorité de certification atteste que le site appartient bien à son propriétaire et garantie que les transactions entre les utilisateurs anonymes et le serveurs sont sécurisées.
C’est le cas des certificat à validité étendue (EV SSL) : même caractéristiques qu’un certificat standard avec en plus la barre de navigation verte et le nom de l’entreprise dans la barre d’adresse du navigateur (ce qui permet à l’internaute d’identifier l’éditeur du site). Le message d’avertissement disparait par la même occasion.

[1L’autorité de certification signe le certificat à l’aide de sa clé privée.