Génération de certificats SSL : Auto-signés et AC

31 mars 2026 · 12 min de lecture

Comprendre les certificats SSL

Les certificats SSL (maintenant techniquement des certificats TLS, bien que le terme SSL persiste) sont des documents numériques qui authentifient l'identité d'un site web et permettent des connexions chiffrées entre les clients et les serveurs. Lorsque vous voyez cette icône de cadenas dans la barre d'adresse de votre navigateur, un certificat SSL travaille en coulisses pour protéger vos données.

Ces certificats remplissent deux fonctions critiques : ils vérifient que vous vous connectez au serveur légitime que vous aviez l'intention d'atteindre, et ils établissent un tunnel chiffré à travers lequel vos données voyagent en toute sécurité. Sans certificats SSL, les informations sensibles comme les mots de passe, les numéros de carte de crédit et les données personnelles seraient transmises en texte clair, vulnérables à l'interception par des acteurs malveillants.

Le choix du certificat SSL dépend de plusieurs facteurs :

• Niveau de validation – À quel point l'autorité de certification vérifie minutieusement votre identité
• Couverture de domaine – Domaine unique, plusieurs sous-domaines ou plusieurs domaines
• Exigences de confiance – Si vous avez besoin de la confiance publique du navigateur ou d'une utilisation interne uniquement
• Contraintes budgétaires – Options gratuites versus certificats payants avec fonctionnalités supplémentaires
• Garantie et support – Couverture d'assurance et niveaux d'assistance technique

Comprendre ces facteurs vous aide à sélectionner le bon type de certificat pour votre cas d'usage spécifique, que vous sécurisiez un blog personnel, une plateforme de commerce électronique ou une application d'entreprise interne.

Certificats auto-signés : Quand et comment les utiliser

Les certificats auto-signés sont des certificats SSL que vous générez et signez vous-même, sans impliquer une autorité de certification tierce. Le serveur se porte essentiellement garant de sa propre identité, c'est pourquoi les navigateurs ne leur font pas confiance par défaut.

Ces certificats sont parfaitement fonctionnels à des fins de chiffrement—ils établissent la même connexion sécurisée que les certificats signés par une AC. La différence réside dans la confiance : les navigateurs n'ont aucun moyen de vérifier que votre certificat auto-signé est légitime, ils affichent donc des avertissements de sécurité aux utilisateurs.

Cas d'usage idéaux pour les certificats auto-signés

Les certificats auto-signés excellent dans des scénarios spécifiques où la confiance publique n'est pas requise :

• Environnements de développement – Tester la fonctionnalité HTTPS localement avant le déploiement
• Réseaux internes – Sécuriser la communication entre serveurs qui ne font jamais face à l'internet public
• Appareils IoT – Systèmes embarqués communiquant au sein d'un réseau contrôlé
• Serveurs de test et de staging – Environnements de pré-production où les avertissements de sécurité sont acceptables
• Projets personnels – Laboratoires domestiques et environnements d'apprentissage

Générer un certificat auto-signé

L'outil le plus courant pour générer des certificats auto-signés est OpenSSL, une bibliothèque cryptographique robuste disponible sur la plupart des systèmes. Voici une commande de base pour créer un certificat auto-signé :

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -sha256 -days 365 -nodes -subj "/CN=localhost"

Décomposons ce que fait chaque paramètre :

• req -x509 – Crée un certificat auto-signé au lieu d'une demande de signature de certificat
• -newkey rsa:4096 – Génère une nouvelle clé privée RSA de 4096 bits (plus forte que les 2048 bits par défaut)
• -keyout key.pem – Enregistre la clé privée dans ce fichier
• -out cert.pem – Enregistre le certificat dans ce fichier
• -sha256 – Utilise l'algorithme de hachage SHA-256 (sécurisé et largement supporté)
• -days 365 – Certificat valide pour un an
• -nodes – Pas de protection par mot de passe sur la clé privée (utile pour les systèmes automatisés)
• -subj "/CN=localhost" – Définit le nom commun sans invites interactives

Certificat auto-signé avancé avec noms alternatifs du sujet

Les navigateurs modernes exigent des noms alternatifs du sujet (SAN) pour une validation correcte du certificat. Voici comment créer un certificat avec plusieurs noms de domaine :

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -sha256 -days 365 -nodes \
  -subj "/CN=localhost" \
  -addext "subjectAltName=DNS:localhost,DNS:*.localhost,IP:127.0.0.1"

Ce certificat fonctionne pour localhost, n'importe quel sous-domaine de localhost, et l'adresse IP 127.0.0.1, le rendant polyvalent pour les scénarios de développement local.

Avantages et limitations

Autorités de certification : Le fondement de la confiance

Les autorités de certification (AC) sont des organisations tierces de confiance qui vérifient les identités et émettent des certificats SSL. Elles forment l'épine dorsale de l'infrastructure de confiance d'internet, agissant comme des notaires numériques qui se portent garants de l'authenticité des sites web.

Lorsqu'une AC émet un certificat, elle dit essentiellement "nous avons vérifié que cette organisation contrôle ce domaine, et nous sommes prêts à engager notre réputation là-dessus." Les navigateurs et systèmes d'exploitation sont préchargés avec une liste d'AC racines de confiance, c'est pourquoi les certificats signés par une AC fonctionnent sans problème sans avertissements de sécurité.

Comment fonctionnent les autorités de certification

Le système d'AC fonctionne sur un modèle de confiance hiérarchique :

1. AC racines – Les ancres de confiance ultimes, leurs certificats sont intégrés dans les navigateurs et systèmes d'exploitation
2. AC intermédiaires – Autorisées par les AC racines à émettre des certificats en leur nom
3. Certificats d'entité finale – Les certificats SSL installés sur les serveurs web

Cette hiérarchie fournit une sécurité par compartimentage. Les clés privées des AC racines sont conservées dans des environnements hautement sécurisés, souvent hors ligne, tandis que les AC intermédiaires gèrent l'émission quotidienne de certificats. Si une AC intermédiaire est compromise, l'AC racine peut révoquer son autorité sans affecter toute la chaîne de confiance.

Principales autorités de certification

Le paysage des AC comprend à la fois des fournisseurs commerciaux et des organisations à but non lucratif :

• DigiCert – L'une des plus grandes AC commerciales, connue pour ses solutions d'entreprise
• Sectigo (anciennement Comodo) – Offre une large gamme de types de certificats à des prix compétitifs
• GlobalSign – Se spécialise dans la PKI d'entreprise et la sécurité IoT
• Let's Encrypt – Organisation à but non lucratif fournissant des certificats gratuits et automatisés
• GoDaddy – Populaire parmi les petites entreprises et les propriétaires de sites web individuels
• Entrust – Se concentre sur les certificats de haute assurance pour les institutions financières

Let's Encrypt : SSL gratuit et de confiance

Let's Encrypt a révolutionné l'accessibilité des certificats SSL lors de son lancement en 2016. Cette autorité de certification à but non lucratif, parrainée par de grandes entreprises technologiques et organisations, fournit des certificats SSL gratuits avec une confiance totale des navigateurs.

La mission du projet est de créer un web plus sécurisé et respectueux de la vie privée en supprimant les barrières de coût et de complexité à l'adoption HTTPS. Aujourd'hui, Let's Encrypt émet plus de certificats que toutes les autres AC combinées, sécurisant des centaines de millions de sites web.

Caractéristiques clés de Let's Encrypt

• Complètement gratuit – Pas de coûts cachés ou de niveaux premium
• Émission automatisée – Les certificats peuvent être obtenus et renouvelés sans intervention humaine
• Validation de domaine uniquement – Se concentre sur la vérification du contrôle du domaine, pas de l'identité organisationnelle
• Validité de 90 jours – Durée de vie plus courte encourage l'automatisation et réduit le risque de certificats compromis
• Support wildcard – Peut sécuriser un nombre illimité de sous-domaines avec un seul certificat
• Confiance totale des navigateurs – Reconnu par tous les principaux navigateurs et systèmes d'exploitation

Débuter avec Let's Encrypt

La méthode recommandée pour utiliser Let's Encrypt est via Certbot, un client automatisé qui gère l'émission et le renouvellement des certificats. Voici un flux de travail de base pour un serveur web :

# Installer Certbot (exemple Ubuntu/Debian)
sudo apt-get update
sudo apt-get install certbot python3-certbot-nginx

# Obtenir et installer le certificat pour Nginx
sudo certbot --nginx -d example.com -d www.example.com

# Tester le renouvellement automatique
sudo certbot renew --dry-run

Certbot configure automatiquement votre serveur web, obtient le certificat et configure le renouvellement automatique. L'ensemble du processus ne prend que quelques minutes.

Clients ACME alternatifs

Bien que Certbot soit le client officiel, plusieurs alternatives offrent différentes fonctionnalités et approches :

• acme.sh – Script shell léger avec des dépendances minimales
• Caddy – Serveur web avec HTTPS automatique intégré utilisant Let's Encrypt
• Traefik – Proxy inverse avec intégration native de Let's Encrypt
• win-acme – Client axé sur Windows avec GUI et tâches planifiées

Quand Let's Encrypt pourrait ne pas être idéal

Malgré ses avantages, Let's Encrypt n'est pas parfait pour tous les scénarios :

• Besoins de validation d'organisation – Let's Encrypt n'offre que la validation de domaine
• Exigences de validation étendue – Non disponible chez Let's Encrypt
• Exigences de garantie – Pas de garantie financière ou de couverture de responsabilité
• Périodes de validité plus longues – Certaines organisations préfèrent les certificats annuels pour la simplicité administrative
• Systèmes hors ligne ou isolés – Nécessitent une connectivité internet pour la validation

Certificats SSL commerciaux : Garanties supplémentaires

Les certificats SSL commerciaux des autorités de certification payantes offrent des fonctionnalités et des garanties au-delà de ce que fournissent les options gratuites. Bien que la force de chiffrement soit identique à Let's Encrypt, les certificats commerciaux incluent des avantages supplémentaires qui comptent pour certains cas d'usage.

Pourquoi choisir des certificats commerciaux

Les organisations optent pour des certificats payants pour plusieurs raisons convaincantes :

• Validation étendue – Affiche le nom de l'entreprise dans la barre d'adresse du navigateur (bien que cette fonctionnalité soit progressivement supprimée)
• Garanties financières – Couverture allant de 10 000 $ à 2 000 000 $ pour les violations liées aux certificats
• Support dédié – Assistance téléphonique et par e-mail pour l'installation et le dépannage
• Validité plus longue – Jusqu'à 397 jours (maximum autorisé par les normes des navigateurs)
• Validation organisationnelle – Informations d'entreprise vérifiées dans les détails du certificat
• Sceaux de confiance – Badges affichables qui peuvent augmenter la confiance des clients
• Achats pluriannuels – Acheter plusieurs années à l'avance (bien que les certificats doivent être réémis annuellement)

Tarification des certificats commerciaux

Les prix varient considérablement en fonction du niveau de validation et des fonctionnalités :