Un certificat fantôme est tout certificat numérique qui existe dans votre environnement mais qui n'est ni suivi, ni géré, ni même connu des équipes responsables de la sécurité et de l'infrastructure. C'est l'équivalent du shadow IT appliqué aux certificats : quelque chose de déployé en dehors des limites des processus officiels et de toute supervision.
Les certificats fantômes ne sont pas intrinsèquement malveillants. Dans la plupart des cas, ils sont créés par des développeurs, des ingénieurs cloud ou des métiers bien intentionnés, qui ont besoin d'un certificat rapidement et l'obtiennent sans passer par le processus de demande officiel de l'organisation. Le problème n'est pas l'intention : c'est l'invisibilité. Lorsqu'un certificat est invisible pour vos équipes de sécurité et d'exploitation, il ne peut être ni surveillé pour son expiration, ni validé au regard de la politique, ni renouvelé lorsqu'une vulnérabilité est découverte.
Les études montrent systématiquement que les organisations sous-estiment leur nombre de certificats de 40 % à 70 %. Cet écart, la différence entre les certificats que vous connaissez et ceux qui existent réellement, constitue votre déficit de visibilité. Le combler est l'une des actions les plus impactantes qu'une équipe de sécurité puisse mener, car on ne peut ni protéger, ni renouveler, ni gouverner ce que l'on ne voit pas.
