Bienvenue dans le troisième épisode de « A Walk in the Park », une nouvelle série de courtes vidéos qui explore les forces qui redéfinissent l’avenir de la confiance numérique. Au cours des cinq prochaines semaines, nous sortirons les discussions des salles de réunion pour les mener en plein air, tandis que nos experts analyseront certains des plus grands défis auxquels sont confrontés aujourd’hui les responsables de la sécurité. Regardez les premier et deuxième épisodes ici.
Il y a un film qui s'intitule 60 secondes chrono. Si vous ne l’avez pas vu, l’intrigue est simple. Une bande de voleurs de voitures a une nuit pour dérober 50 voitures de luxe. C’est une course contre la montre, et le titre en dit long : tout disparaît en un clin d’œil.
Je l'emprunte pour une bonne raison.
Car, en matière de sécurité aussi, le temps presse actuellement. Ce n’est pas une flotte de voitures qui disparaît, mais la durée de validité de vos TLS . Et cela se passe au grand jour, sous l’égide de l’ensemble du secteur des navigateurs.
D’ici 2029, le certificat qui garantit la fiabilité de votre site web expirera environ toutes les six semaines. Beaucoup de gens ignorent encore que cela va arriver. Je vais donc vous expliquer comment cela fonctionne.
▶️ Regardez l'épisode : Ryan et moi abordons ce sujet dans un autre épisode de « A Walk in the Park ». En voici un bref aperçu. Ci-dessous, j’approfondis la question et explique comment s’y préparer.
Tout d'abord, qu'est-ce que c'est exactement ?
C'est grâce au TLS que la petite icône en forme de cadenas s'affiche dans votre navigateur.
Il existe deux types de certificats. Les certificats publics sont reconnus comme fiables par pratiquement tout le monde, partout. On peut les comparer à un passeport. Les certificats privés s'apparentent davantage à un badge d'identification d'entreprise. Ils sont reconnus comme fiables au sein de votre entreprise, mais pas en dehors.
Ils remplissent deux fonctions. Premièrement, ils permettent de vérifier qu’un site web est bien celui qu’il prétend être. Vous avez ainsi la certitude que vous vous trouvez sur le site authentique et non sur un site frauduleux. Deuxièmement, ils sécurisent le tunnel crypté entre votre navigateur et ce site. Ainsi, les données que vous envoyez ne peuvent pas être interceptées en cours de route.
Quand un certificat fonctionne, on n'y pense même pas. Quand il ne fonctionne plus, on ne pense plus qu'à ça.
Qu'est-ce qui change concrètement ?
La durée de validité des certificats publics est en train de s'effondrer.
Avant, c'était deux ans. Puis treize mois. Puis un an. Et regardez où ça nous mène aujourd'hui :
- Mars 2026 : plus que 200 jours.
- Mars 2027 : plus que 100 jours.
- Mars 2029 : plus que 47 jours.
Ce n'est pas une rumeur, et ce n'est plus une proposition. Le CA/Browser Forum l'a adoptée. Les quatre principaux navigateurs ont donné leur accord. Aucun vote contre. C'est en passe de devenir réalité.
Et il y a un piège caché dans les clauses en petits caractères. D’ici 2029, le délai pour réutiliser votre validation de nom de domaine sera réduit à seulement 10 jours. Vous ne vous contentez donc pas de renouveler votre nom de domaine plus souvent : vous devrez prouver à nouveau que vous en avez le contrôle pratiquement à chaque fois.
Si vous disposez de 100 TLS publics, cela représente aujourd’hui environ 100 renouvellements par an. Dans le cadre du modèle de 47 jours, ce chiffre avoisine les 800. Les processus manuels ne permettent pas de gérer un tel volume sans qu’au moins quelques-uns ne passent entre les mailles du filet.
J'ai lu les fils de discussion sur Reddit
J'ai vu d'innombrables subreddits remplis de gens qui se plaignaient du renouvellement des certificats, qu'ils soient publics ou privés. Ma phrase préférée : « Dis-moi que tu ne travailles pas dans l'informatique sans me dire que tu ne travailles pas dans l'informatique. »
Parce que ça met le doigt sur le problème : ceux qui ne s'occupent pas de ça pensent que c'est juste une case à cocher. Ceux qui gèrent TLS , eux, ont envie de s'arracher les yeux à chaque fois qu'un renouvellement se présente.
Je vais donc aborder sans détour cet aspect peu glamour. Il existe de bonnes raisons de sécurité qui justifient des durées de validité plus courtes. Un certificat dont la durée de validité est plus courte signifie qu’une clé volée ne sera utile que pendant moins longtemps. Cela réduit votre exposition aux attaques de type « homme du milieu ». Ce n’est pas une question de cruauté de la part des navigateurs, juste pour le plaisir.
Mais cela demande beaucoup plus de travail. Prétendre le contraire n'aide personne.
Qu'est-ce qui casse en premier ?
Si j'oublie mon mot de passe, je ne peux plus accéder à mon compte. C'est agaçant, certes, mais je le réinitialise et je passe à autre chose. Si un certificat arrive à expiration, le site web, le système ou l'application auquel il est associé est hors service. Ce n'est pas simplement agaçant. Cela a un impact direct sur vos clients et votre chiffre d'affaires.
Vous pouvez faire de votre mieux pour éviter les pannes, mais le problème majeur réside dans le fait que les équipes continueront à consacrer 8 à 10 fois plus de temps à la gestion des certificats qu’au travail stratégique que vous attendez réellement d’elles.
Aucune de ces deux issues n'est satisfaisante.
On voit encore partout les anciennes méthodes. Les tableurs. Les rappels d'agenda. Les e-mails. Ça n'a jamais été qu'une solution de fortune. Au bout de 47 jours, tout s'effondre complètement.
Par où commencer ?
L'automatisation est la solution. Mais ce n'est pas simplement une question d'appuyer sur un bouton.
Chaque équipe et chaque système ont besoin de leur propre processus de travail. Certains certificats peuvent être renouvelés automatiquement. D'autres nécessitent une étape de validation avant que le renouvellement ne puisse avoir lieu. Certains systèmes peuvent s'appuyer sur un protocole tel que l'ACME ou le SCEP pour gérer ce processus. D'autres ont besoin d'une automatisation plus robuste du cycle de vie pour mener à bien cette tâche.
C'est précisément cette diversité qui justifie que vous vous lanciez dès maintenant. Pas en 2029. La limite des 200 jours est déjà en vigueur, et celle des 100 jours entrera en vigueur en mars prochain. Définir la bonne approche pour chaque système prend du temps, et vous avez tout intérêt à ce que ce temps joue en votre faveur.
Passons maintenant à vos certificats privés. Votre PKI interne PKI soumise à ces règles, vous pouvez continuer à utiliser des certificats à durée de validité plus longue au sein de votre propre réseau.
Je m'opposerais à cette réaction instinctive.
Adopter la même approche pour l'ensemble de votre PKI interne vous PKI une cohérence, et la cohérence est gage de sécurité. Les certificats à longue durée de vie constituent en eux-mêmes un risque réel. Il nous arrive régulièrement de découvrir, dans certains environnements, des certificats internes dont la durée de vie se mesure en décennies, dans le seul but d'éviter les tracas liés au renouvellement.
L'automatisation permet de surmonter les difficultés liées au renouvellement tout en permettant aux équipes de respecter les bonnes pratiques. L'inscription automatique couvre une grande partie de cet environnement interne, et c'est un bon début. Mais ce n'est pas tout. Ne croyez pas que le travail soit terminé pour autant.
Le volume des certificats va augmenter, tandis que leur durée de vie va diminuer. La seule vraie question est de savoir si cela ne représente pour vous qu’un détail sans importance, ou bien une alerte générale toutes les six semaines. C’est une automatisation adaptée à chaque système qui déterminera la réponse.
Il s'agit de l'une des quatre forces qui redéfinissent votre infrastructure de confiance, mais ce n’est qu’un début.
Prochainement : rejoignez Chris Hickman, directeur de la sécurité chez Keyfactor, pour découvrir le risque de sécurité non géré qui connaît actuellement la plus forte croissance dans les entreprises : la dette cryptographique.
