Qu'est-ce qu'une autorité de certification ?

Vue d'ensemble

Imaginez que vous devez acheter une maison. Avant que la banque ne débloque le crédit, un notaire vérifie l'identité du vendeur, contrôle que les documents de propriété sont authentiques et appose son sceau officiel sur l'ensemble. Sans le notaire, ni vous ni la banque ne pourriez avoir confiance dans la validité de la transaction.

Une autorité de certification (CA) joue le même rôle dans le monde numérique. C'est le tiers de confiance qui vérifie l'identité d'une entité (un site web, une organisation, un appareil) et émet un certificat numérique attestant cette identité. Le certificat lie une clé publique à l'identité vérifiée, et la signature numérique de la CA sur le certificat constitue le sceau qui le rend digne de confiance.

À chaque fois que votre navigateur établit une connexion HTTPS, il vérifie si le certificat du serveur a été émis par une CA qu'il reconnaît. Si la CA est approuvée, la connexion se poursuit. Sinon, vous voyez un avertissement de sécurité. Ce mécanisme simple (vérifier l'émetteur, faire confiance au certificat) constitue le socle de la confiance en ligne.

Étapes clés

Génération de la paire de clés

Le demandeur génère une paire de clés publique/privée. La clé privée reste secrète et ne quitte jamais le système du demandeur. La clé publique sera incluse dans le certificat.

Demande de signature de certificat (CSR)

Le demandeur crée un CSR, un message structuré contenant la clé publique, le nom de sujet souhaité (par exemple, www.example.com) et d'autres informations d'identification. Le CSR est signé numériquement avec la clé privée du demandeur, prouvant qu'il possède bien la clé correspondante.

Vérification d'identité

La CA vérifie l'identité du demandeur. Pour un certificat TLS public, cela peut consister à prouver le contrôle du domaine via un enregistrement DNS ou un challenge HTTP. Pour un certificat à validation d'organisation, il s'agit de contrôler les documents d'enregistrement légal. Pour une CA privée, la vérification peut suivre des politiques internes, comme la consultation d'un enregistrement Active Directory ou un workflow d'approbation.

Signature du certificat

Une fois l'identité vérifiée, la CA construit le certificat en y intégrant la clé publique, les informations de sujet, les dates de validité et les extensions, puis le signe avec sa propre clé privée. Cette signature est ce que les clients vérifieront pour établir la confiance.

Remise du certificat

Le certificat signé est renvoyé au demandeur, qui l'installe sur le serveur, l'appareil ou l'application concerné. À partir de ce moment, tout client qui fait confiance à la CA émettrice acceptera le certificat comme valide.

Composants clés

Sites web publics

Utilisez une CA publique. Les visiteurs doivent faire confiance à votre certificat sans configuration particulière. Leurs navigateurs incluent déjà la racine de la CA publique dans leur magasin de confiance.

Services et API internes

Utilisez une CA privée. Vous contrôlez le magasin de confiance de tous les systèmes internes : il n'est donc pas nécessaire de solliciter une CA publique. Cela évite également les coûts par certificat et vous donne un contrôle total sur les politiques.

Authentification des collaborateurs

Utilisez une CA privée. Les certificats clients pour l'accès VPN, l'authentification Wi-Fi ou la connexion par carte à puce doivent être émis par une CA interne dont la racine est déployée sur les appareils de l'entreprise.

Identité IoT et appareils

Utilisez une CA privée. Les appareils que vous fabriquez ou gérez s'authentifient auprès de votre infrastructure à l'aide de certificats que vous maîtrisez. Une CA privée vous permet de définir des durées de validité, des algorithmes de clé et des politiques de révocation adaptés à vos appareils.

Signature de code

Utilisez une CA publique pour les logiciels distribués à des clients externes. Utilisez une CA privée pour les scripts et outils internes lorsque vous maîtrisez les endpoints.

Microservices et mTLS

Utilisez une CA privée. Les communications de service à service au sein de votre infrastructure doivent utiliser des certificats issus d'une CA interne. C'est le socle des architectures zero-trust, où chaque service prouve son identité à tout autre service.

Evertrust & Qu'est-ce qu'une autorité de certification ?

Exploitez votre propre CA privée — Evertrust PKI vous permet de déployer une autorité de certification privée complète, avec hiérarchies de CA racine et intermédiaires, profils de certificats personnalisables et émission pilotée par politiques, le tout via une plateforme moderne et auditable.

Automatiser l'émission à grande échelle — La prise en charge d'ACME, SCEP, EST et des API REST permet aux serveurs, appareils et pipelines CI/CD de demander et déployer des certificats automatiquement, sans aucune intervention manuelle.

Appliquer la gouvernance — Définissez des politiques de certificats, des workflows d'approbation, des contraintes de nommage et des exigences en matière d'algorithmes de clé. Chaque émission est journalisée et auditable, conformément aux attentes de gouvernance des déploiements PKI d'entreprise.

Visibilité unifiée — Que vos certificats proviennent de CA publiques, de CA privées ou des deux, Evertrust offre un tableau de bord unique pour surveiller, alerter et rapporter sur l'ensemble de votre parc de certificats.

PKI

CLM

Cas d'usage

Secteurs

Conformité

Apprendre

Outils & Analyses

Événements & Communauté