Certificat autosigné

Qu’est-ce qu’un certificat auto-signé ?

Un certificat auto-signé est un certificat numérique dont le propriétaire utilise sa propre clé privée pour signer électroniquement la clé publique correspondante. Dans la plupart des cas, ces certificats ne sont pas considérés comme fiables. En effet, un certificat auto-signé est essentiellement un certificat « autodéclaré », qui ne bénéficie pas de la validation d’un tiers de confiance. En raison de cette nature autodéclarée, les certificats auto-signés sont parfois familièrement appelés « certificats Ore-Ore » en japonais, ce qui signifie « certificats Moi-Moi ».

Les certificats racines émis par des autorités de certification publiques (AC publiques) pour s’authentifier constituent une exception à cette règle. Les certificats racines des AC publiques qui respectent des directives clairement définies sont considérés comme fiables et sont préinstallés dans les navigateurs web. Lorsqu’un navigateur communique avec un site web, il vérifie le certificat de serveur présenté par le site ainsi que l’identité de son émetteur, puis utilise le certificat racine enregistré de l’autorité émettrice pour déchiffrer la signature et confirmer la légitimité du certificat.

En règle générale, les certificats de serveur SSL doivent toujours être délivrés par des autorités de certification tierces. L’utilisation d’un certificat auto-signé est déconseillée, car il devient impossible de le distinguer des certificats falsifiés par des tiers malveillants. Configurer un navigateur web pour qu’il accepte les certificats auto-signés revient également à autoriser les certificats falsifiés, ce qui crée des failles de sécurité. Dans ce cas, même le chiffrement perd tout son sens, car les communications peuvent être interceptées et altérées en cours de transmission.