Ballot SMC017v2 adopté : le CA/Browser Forum relève le niveau des clés RSA des CA S/MIME

Le 30 juillet 2026, le CA/Browser Forum a formellement adopté le Ballot SMC017v2, « Increase Minimum RSA CA Key Size », à l'issue d'une période de revue de propriété intellectuelle close sans aucune notification d'exclusion. Le ballot modifie les Baseline Requirements for the Issuance and Management of Publicly-Trusted S/MIME Certificates, désormais publiées sous la référence S/MIME BR version 1.0.15. Proposée par Martijn Katerbarg (Sectigo) et soutenue par Ben Wilson (Mozilla) et Stephen Davidson (DigiCert), la mesure a été adoptée avec un résultat éloquent : 18 émetteurs de certificats et 4 consommateurs de certificats ont voté pour, sans aucune voix contre ni abstention. Apple, Microsoft et Mozilla l'ont tous approuvée.

Le changement se résume facilement et ses conséquences sont significatives. Les autorités de certification S/MIME publiquement reconnues abandonnent le RSA 2048 bits au niveau des CA, selon un calendrier désormais fixé. Pour un écosystème qui a traité le RSA 2048 comme la valeur par défaut pendant près de vingt ans, le Ballot SMC017v2 marque le moment où cette valeur par défaut entame officiellement sa retraite, au moins là où cela compte le plus : les clés qui signent tout le reste.

Ce que change réellement le Ballot SMC017v2

Le ballot introduit deux échéances, et la distinction entre les deux mérite l'attention.

La première échéance concerne la génération des clés. Les clés RSA créées après le 15 septembre 2026 pour les certificats de CA racine et de CA subordonnée dans la hiérarchie S/MIME sont soumises à une taille minimale de 4096 bits, contre un plancher précédent de 2048 bits. Toute nouvelle cérémonie des clés pour une CA émettrice S/MIME produira, à partir de cette date, une clé de 4096 bits ou plus. Les certificats d'abonné, ces certificats d'entité finale que les personnes et les organisations utilisent pour signer et chiffrer leurs e-mails, conservent leur minimum de 2048 bits. Le ballot vise l'infrastructure de confiance, pas les feuilles.

La seconde échéance concerne l'émission depuis les hiérarchies existantes. À partir du 15 septembre 2027, les S/MIME Baseline Requirements interdisent d'émettre des certificats d'abonné depuis toute CA subordonnée dont le module de clé RSA est inférieur à 3072 bits. En clair, cela met fin à l'émission depuis les CA subordonnées historiques en 2048 bits. Les intermédiaires 2048 bits existants ne deviennent pas invalides du jour au lendemain, et les certificats déjà émis ne sont pas affectés, mais leur rôle d'émetteur actif prend fin. Les autorités de certification qui exploitent de tels intermédiaires disposent d'un peu plus d'un an à compter de la date d'effet du ballot pour mettre en place des remplaçants.

Cette conception en deux temps est délibérée. Elle stoppe immédiatement la création de nouvelles clés de CA sous-dimensionnées tout en laissant à l'écosystème une fenêtre définie pour migrer les chaînes d'émission en production, une approche qui évite à la fois un événement de révocation brutal et un maintien indéfini des clés historiques.

Pourquoi au niveau des CA, et pourquoi maintenant

Le raisonnement cryptographique est bien établi. Le RSA 2048 offre environ 112 bits de sécurité classique, en dessous du niveau de 128 bits que procure le RSA 3072 et que les recommandations du NIST comme celles d'agences européennes telles que l'ANSSI et le BSI retiennent comme plancher pour les clés protégeant des actifs de longue durée. L'asymétrie exploitée par le ballot est celle du temps d'exposition. Un certificat d'abonné vit un an ou deux. Une clé de CA peut signer pendant une décennie ou plus, et chaque certificat situé en dessous hérite des conséquences de sa compromission. Renforcer le sommet de la hiérarchie procure le meilleur rendement de sécurité pour le plus petit nombre de cérémonies des clés.

Il existe aussi un sous-texte lié à l'ère quantique qu'il faut nommer. Le Ballot SMC017v2 n'introduit pas d'algorithmes post-quantiques ; ce chantier a démarré séparément avec le Ballot SMC013, « Enable PQC Algorithms for S/MIME », adopté en 2025. Des clés RSA plus grandes ne résistent pas à un ordinateur quantique cryptographiquement pertinent, et personne au CA/Browser Forum ne prétend le contraire. Ce que fait le ballot, c'est garantir que la composante classique des hiérarchies de confiance reste robuste pendant les années de transition, précisément la période durant laquelle les approches hybrides et composites superposeront des algorithmes post-quantiques aux algorithmes classiques. Une hiérarchie dont les clés auront été renouvelées en 2026 sera encore en service à l'arrivée de ces chaînes hybrides, et une ancre classique de 4096 bits en est le partenaire approprié. Vu sous cet angle, SMC017v2 est moins une mesure de durcissement isolée qu'un mouvement dans une séquence plus longue de modernisation cryptographique des exigences S/MIME.

Le vote unanime est en soi instructif. Les programmes racine et les émetteurs de certificats s'alignent rarement sans friction sur ce qui impose un coût opérationnel. Ici, les 22 membres votants ont estimé que ce coût était justifié, ce qui laisse penser que le secteur considère l'ère des CA en 2048 bits comme close.

Conséquences opérationnelles pour les équipes PKI

Pour les CA publiquement reconnues, le plan de travail est clair : planifier les cérémonies des clés pour les remplacements en 4096 bits, obtenir de nouveaux certificats de CA subordonnée, migrer l'émission et gérer la coexistence des anciens et des nouveaux intermédiaires pendant la transition. Les échéances laissent une marge suffisante mais pas généreuse, en particulier pour les organisations dont la logistique de cérémonie implique des auditeurs externes, l'achat de modules de sécurité matériels ou des chaînes d'approbation multipartites.

La question la plus intéressante concerne tous ceux qui se trouvent en aval. Les entreprises qui consomment des certificats S/MIME publiquement reconnus verront leurs chaînes d'émission changer d'ici la fin 2027. L'épinglage de certificats sur les CA intermédiaires, la validation de chaîne codée en dur, les configurations de passerelles qui embarquent des intermédiaires spécifiques et les dispositifs de vérification d'archives méritent tous une revue avant la mise en service des nouvelles hiérarchies. Des clés de CA plus grandes signifient aussi des chaînes légèrement plus volumineuses et des opérations RSA plus lentes au niveau des CA, un coût négligeable pour l'e-mail mais un rappel utile : les décisions de taille de clé se propagent à tous les systèmes qui manipulent le certificat.

Les exploitants de PKI privées ne sont soumis à aucune obligation formelle, puisque les S/MIME Baseline Requirements encadrent l'émission publiquement reconnue. La direction prise est toutefois sans ambiguïté, et les hiérarchies privées tendent à suivre les pratiques de la confiance publique avec un décalage. Une CA interne créée aujourd'hui avec une clé RSA de 2048 bits est une hiérarchie construite en dessous de la barre que le secteur vient de se fixer. Les organisations qui prévoient de renouveler leurs racines ou leurs intermédiaires internes ont tout intérêt à adopter dès maintenant le plancher de 4096 bits, ou à envisager des alternatives à base de courbes elliptiques là où leur écosystème les prend en charge.

Surtout, le Ballot SMC017v2 constitue un test grandeur nature d'une capacité qui sera sollicitée à répétition au cours de la prochaine décennie : la capacité à renouveler les clés et à réémettre au niveau de la hiérarchie sans perturber la production. Une organisation qui sait quels certificats se rattachent à quels intermédiaires, quelles applications épinglent quelles clés et quels équipements tolèrent quels algorithmes absorbera ce changement comme une opération de maintenance courante. Une organisation qui découvre ses dépendances pendant la migration vivra le même changement très différemment. La transition post-quantique posera la même question à une tout autre échelle.

La perspective européenne

Pour les organisations européennes, le ballot atterrit en terrain connu. Les référentiels RGS de l'ANSSI et la directive technique TR-02102 du BSI recommandent depuis des années des modules RSA de 3072 bits ou plus : le CA/Browser Forum aligne donc la confiance publique sur des positions que les agences européennes ont adoptées il y a un certain temps. Les entités réglementées au titre de DORA et de NIS2, soumises à des obligations explicites d'inventaire cryptographique et de gestion des risques, constateront que documenter leur exposition au calendrier SMC017v2 correspond exactement au type d'exercice attendu par ces cadres. Et pour les organisations qui s'appuient sur des services de signature d'e-mails qualifiés ou réglementés dans l'écosystème eIDAS, le ballot renforce une convergence européenne plus large : les tailles de clés, comme les algorithmes, ont désormais des dates de péremption, et les cadres de gouvernance exigent de plus en plus la preuve qu'une organisation est capable d'agir en conséquence.

En conclusion

Le Ballot SMC017v2 modifie deux nombres dans un document d'exigences, et pourtant il résume assez précisément l'état du secteur. L'adoption à l'unanimité, les échéances par étapes et la mise à la retraite discrète d'une taille de clé longtemps considérée comme définitive pointent toutes dans la même direction : les paramètres cryptographiques se gèrent désormais selon des calendriers explicites, et l'infrastructure de confiance est censée suivre le rythme. Le 15 septembre 2026 et le 15 septembre 2027 sont les dates à inscrire au plan de migration. Les organisations les mieux placées pour les tenir, ainsi que pour les transitions plus vastes qui suivront, sont celles pour lesquelles renouveler les clés d'une hiérarchie est une opération automatisée, inventoriée et répétée, plutôt qu'un événement exceptionnel.