Certificats à validation étendue : ce que la validation EV prouve réellement et si cela a encore de l'importance

Tous les certificats de type « SSL » / «TLS » disponibles sur le Web s'appuient sur la même famille de schémas cryptographiques. Un certificat à validation de domaine crypte une connexion aussi efficacement que le certificat « Extended Validation » le plus onéreux. Si le cadenas et le cryptage sont identiques, que vaut donc réellement le supplément lié à la « Extended Validation » ?

En bref, c’est une question d’identité, et non de confidentialité. Les certificats à validation étendue (EV) ne renforcent pas la sécurité d’une connexion au niveau cryptographique. Ils imposent des exigences plus strictes sur un point précis : prouver, grâce à un processus de vérification rigoureux, quelle entité juridique se cache exactement derrière un site web. Ce guide explique ce qu’un certificat EV atteste, comment il se positionne par rapport aux autres niveaux de validation, pourquoi sa caractéristique la plus visible a disparu des navigateurs il y a plusieurs années, et s’il vaut toujours la peine d’y investir. Comprendre l’EV, c’est aussi comprendrecomment les certificats numériques établissent la confianceen premier lieu.

Ce qu'atteste réellement un certificat de véhicule électrique

Un certificat EV offre le plus haut niveau de garantie d'identité numérique parmi les certificats disponibles sur SSL/TLS . Alors que tous les certificats garantissent au client qu'il communique bien avec le titulaire du certificat, la validation étendue (Extended Validation) du certificat permet de vérifier l'identité légale du propriétaire du site web auprès de l'autorité de certification (CA).

Le CA/Browser Forum, l'organisme chargé de régir ces règles, définit la fonction principale d'un certificat EV comme étant « d'identifier l'entité juridique qui contrôle un site Web » et de fournir une assurance raisonnable que le site est « contrôlé par une entité juridique spécifique identifiée dans le certificat EV par son nom, l'adresse de son siège social, la juridiction de constitution ou d'enregistrement, son numéro d'enregistrement ou toute autre information permettant de l'identifier sans ambiguïté ».

Concrètement, un certificat EV associe quatre éléments concrets à un site web :

• La dénomination sociale vérifiée de l'organisation qui contrôle le site.
• L'adresse de son siège social.
• La juridiction dans laquelle la société a été constituée ou enregistrée.
• Son numéro d'immatriculation (ou toute autre information permettant de l'identifier sans ambiguïté).

Ces certificats sont régis par les directives EV du CA/Browser Forum, établies en 2007. C'est grâce à ce cadre réglementaire que les données d'identité contenues dans un certificat EV sont cohérentes et fiables, quelle que soit l'autorité de certification qui le délivre.

Comparaison entre l'EV et les autres niveaux de validation

La meilleure façon de comprendre l'EV est de procéder par comparaison, car tous les certificats publics reposent sur les mêmes principes cryptographiques de base. Ce qui distingue les différents niveaux de validation, ce n'est pas la force du chiffrement, mais l'étendue de la vérification de l'identité effectuée par l'autorité de certification avant la délivrance du certificat, ainsi que la quantité d'informations relatives à cette identité qui est affichée. Cette vérification remonte jusqu'àl'autorité de certification qui délivre et signe le certificat.

Au niveau le plus bas, la vérification se limite à confirmer la maîtrise du nom de domaine. Au niveau intermédiaire, l’autorité de certification (CA) confirme également l’existence légale de l’organisation et inclut ces informations dans le certificat. Au niveau le plus élevé, dit « EV », l’autorité de certification procède à un examen approfondi de l’existence légale, physique et opérationnelle de l’organisation, et la demande doit émaner de l’organisation elle-même plutôt que d’un particulier agissant à titre informel.

Profondeur de validation	Ce que vérifie l'autorité de certification	Ce qui s'affiche	Cas d'utilisation type	Heure d'émission
Contrôle du domaine uniquement	Le demandeur gère le nom de domaine	Autorité émettrice uniquement, aucune information sur l'organisation	Sites personnels ou internes	Procès-verbal
Organisation certifiée	Le contrôle du domaine et l'existence juridique de l'organisation	Informations relatives à l'organisation figurant dans le certificat	Sites commerciaux qui collectent des données sur les utilisateurs	Des heures aux jours
Examen complet des aspects juridiques, physiques et opérationnels (VE)	Existence juridique, physique et opérationnelle, ainsi que le contrôle du domaine, mis en place par l'organisation	Coordonnées d'identification de l'organisation vérifiées	Sites à haut niveau de confiance et à haut risque	Le plus long des trois

En résumé, le fait de passer à un niveau supérieur n'améliore pas la sécurité cryptographique. Cela renforce la garantie d'identité et, par conséquent, inspire davantage confiance aux visiteurs qui prennent le temps d'examiner le certificat.

Quels éléments sont vérifiés lors de l'évaluation des véhicules électriques ?

C'est lors de la vérification des certificats électroniques (EV) que la valeur ajoutée est générée. Conformément aux directives du CA/Browser Forum, une autorité de certification publique valide l'identité opérationnelle et physique de l'organisation qui demande le certificat. Elle confirme l'identité juridique du propriétaire du site, vérifie que le demandeur est bien le propriétaire et l'unique gestionnaire du domaine, et s'assure que le demandeur est habilité à solliciter le certificat au nom de l'organisation.

Pour vérifier l'identité et l'adresse d'une organisation, une autorité de certification ne se contente pas de se fier aux déclarations du demandeur. Elle s'appuie sur des preuves indépendantes et difficiles à falsifier, telles que :

• Documents émanant d'un organisme public de la juridiction dans laquelle l'organisation a été légalement constituée ou reconnue.
• Une base de données tierce fiable, mise à jour régulièrement et dont l'exactitude est vérifiée périodiquement.
• Une visite sur place effectuée par l'autorité de contrôle ou par un mandataire agissant en son nom.
• Une attestation officielle, parfois accompagnée de pièces justificatives telles qu'une facture de services publics, un relevé bancaire ou un document fiscal délivré par l'administration, afin de confirmer une adresse.

Comparons cela aux contrôles simplifiés de contrôle de domaine utilisés aux niveaux de validation inférieurs, où une autorité de certification peut se contenter de consulter une fiche WHOIS, de confirmer un enregistrement « DNS » créé par le demandeur ou de vérifier un fichier placé sur le site web. Ces contrôles permettent de prouver le contrôle d’un domaine en quelques minutes. La vérification EV, de par sa conception, est plus lente et plus approfondie, car elle consiste à vérifier l’existence d’une organisation réelle, et non pas simplement un lien technique avec un nom de domaine.

L'histoire de l'interface utilisateur : de la barre verte au simple cadenas

Pendant des années, l’intérêt même du protocole EV résidait dans un élément que le visiteur pouvait repérer d’un seul coup d’œil. Avant l’automne 2019, un visiteur accédant à un site web protégé par le protocole EV pouvait le reconnaître grâce au nom de l’entreprise affiché en vert, ou à une barre verte dans la barre d’adresse indiquant la raison sociale et la localisation géographique de l’organisation. Il s’agissait d’un signe visible attestant d’une identité vérifiée.

Puis le badge a disparu. Vers l'automne 2019, Google Chrome et Mozilla Firefox ont tous deux supprimé cet indicateur. Aujourd'hui, tous les certificats, qu'ils aient nécessité quelques minutes ou plusieurs semaines de vérification, affichent le même cadenas neutre dans la barre d'adresse du navigateur. Des études et des commentaires du secteur ont remis en question le fait que les utilisateurs aient jamais remarqué la barre verte ou agi en conséquence, et les navigateurs sont passés à autre chose.

Cette modification n'a pas supprimé les données d'identité EV. Elle a simplement cessé de les afficher automatiquement. Pour vérifier qu'un site utilise bien un certificat EV aujourd'hui, il suffit de cliquer sur le cadenas et de consulter les détails du certificat. Un certificat EV révèle les informations d'identification vérifiées de l'organisation, tandis que les autres types de certificats n'indiquent que l'autorité émettrice. Les informations sont toujours présentes ; il suffit simplement de cliquer délibérément pour les trouver.

Vous pouvez également trouver ces informations dans le terminal, à l'aide d'outils tels qu'OpenSSL.

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -text

Recherchez dans la sortie l'extension « Certificate Policies » de la norme X509v3. Un certificat « Extended Validation » comporte l'identifiant réservé 2.23.140.1.1. Notez que cet arc comporte un élément de moins que les identifiants utilisés pour les autres niveaux ; il convient donc de le lire dans son intégralité plutôt que de se baser uniquement sur les derniers chiffres. Tout autre identifiant réservé à cette position correspond à un niveau différent. Notre page dédiée à la validation des certificats détaille les exigences de chaque niveau pour l'autorité de certification (CA).

Le véhicule électrique en vaut-il la peine ? Une analyse coûts-avantages

Voici la réponse honnête : cela dépend de votre profil de risque, et pour de nombreux sites, le certificat EV n'en vaut pas la peine. Les certificats EV coûtent plus cher que les autres certificats et leur délivrance prend plus de temps en raison de la procédure de vérification qu'ils impliquent.

C'est sur les cibles de hameçonnage à forte valeur ajoutée que l'EV prend tout son sens. Il est particulièrement adapté aux types de sites que les attaquants imitent le plus souvent : banques, grands détaillants, institutions financières et organismes publics en contact avec le grand public. Plus généralement, tout site qui collecte des données, traite des identifiants de connexion ou gère des paiements en ligne a tout intérêt à afficher une identité de marque vérifiée. Si une garantie d'identité renforcée et un niveau de confiance élevé sont essentiels pour votre entreprise, l'EV a clairement un rôle à jouer.

Pour tous les autres, le surcoût et la lenteur de la délivrance sont plus difficiles à justifier. Il convient d’avoir les idées claires sur ce que le certificat EV garantit et ce qu’il ne garantit pas. Un certificat EV prouve qu’une entité juridique enregistrée est propriétaire du domaine et en a le contrôle. Il ne prouve pas que le site lui-même soit intrinsèquement fiable ou bien intentionné. Le chercheur en sécurité Troy Hunt avait déjà souligné en 2016 que la valeur de l’EV dépendait en fin de compte du facteur humain : dans quelle mesure les personnes et les organisations comprennent ces certificats et agissent pour les protéger. Cette mise en garde explique pourquoi l’EV doit être considéré comme un niveau de confiance supplémentaire, et non comme une garantie.

Pourquoi la validation des véhicules électriques reste-t-elle importante ?

Même après la refonte de l'interface du navigateur, la validation EV conserve une valeur durable à trois égards.

Tout d’abord, la lutte contre le phishing. Les sites de phishing qui usurpent l’identité d’entreprises légitimes constituent l’un des principaux vecteurs de vol de données sensibles, et les criminels peuvent acheter à bas prix des certificats validés par domaine sur les marchés noirs pour donner une apparence légitime à leurs sites frauduleux. La certification EV rend cette pratique plus difficile. Les certificats EV volés sont bien plus rares et beaucoup plus chers sur ces mêmes marchés, ce qui augmente le coût et l’effort nécessaires à une usurpation d’identité convaincante. En affichant une identité vérifiée au sein du certificat, la certification EV offre aux visiteurs prudents un moyen de confirmer à qui ils ont réellement affaire.

Deuxièmement, l'identité vérifiée de la marque. L'identité de l'organisation est intégrée au certificat lui-même ; la garantie reste donc valable, quelle que soit la manière dont un navigateur donné choisit de l'afficher.

Troisièmement, l'aide à la mise en conformité. Des réglementations telles que la loi HIPAA, la norme PCI DSS et le RGPD imposent aux organisations de protéger les données médicales, financières et personnelles. Les certificats EV permettent de démontrer que l'identité a été vérifiée et que des mesures de protection robustes sont en place, ce qui peut contribuer à la réussite d'un audit au regard de ces exigences.

Automatisation de la validation des EV et des certificats à grande échelle

Il existe un élément déterminant qui fait la différence entre le succès et l'échec des certificats électroniques dans la pratique : la gestion du cycle de vie. La garantie d'identité offerte par un certificat n'a aucune valeur si celui-ci expire sans que personne ne s'en aperçoive et entraîne la mise hors service du service concerné.

La durée de validité des certificats diminue rapidement. Autrefois, les certificats étaient valables entre un et trois ans. Aujourd’hui, la durée maximale autorisée est de 200 jours, et le CA/Browser Forum a adopté une résolution visant à réduire cette durée à seulement 47 jours d’ici 2029. Ces durées plus courtes reflètent une tendance générale du secteur vers plus d’agilité, mais elles font également du suivi manuel un véritable risque. Si vous manquez un renouvellement, vous vous exposez à des interruptions de service, des failles de sécurité et des manquements à la conformité.

Le chiffrement EV ne tient ses promesses que lorsque son cycle de vie est géré de manière automatique, sans que les utilisateurs aient à se souvenir de quoi que ce soit. C’est là qu’intervient le protocole ACME (Automated Certificate Management Environment). ACME automatise l’émission, le renouvellement et la révocation des certificats en rationalisant les interactions entre votre serveur web et les autorités de certification. Développé à l’origine pour Let’s Encrypt, il est désormais largement pris en charge par les autorités de certification et les fournisseurs d’ PKI . L’automatisation de la validation et du renouvellement des certificats réduit les erreurs manuelles, libère des ressources informatiques et évite les temps d’arrêt coûteux liés à un oubli d’expiration.

Comment Keyfactor vous aider

C'est précisément le problème que Keyfactor a pour mission de résoudre. Keyfactor vous permetde recenser,de gérer etd'automatiserl'ensemble des certificats au sein de votre entreprise, afin que la validation et le renouvellement des certificats ne dépendent plus de la vigilance de chacun. La plateforme aide les équipes à passer d'une approche réactive à une visibilité proactive grâce à une infrastructure à clé publique (PKI) entièrement automatisée et à la gestion du cycle de vie des certificats.

Cela répond directement aux défis évoqués plus haut. Alors que la durée de vie des certificats diminue pour atteindre un maximum de 47 jours, la détection et le renouvellement automatisés garantissent la validité et l’application des certificats EV et de tous les autres certificats, sans nécessiter de suivi manuel. Grâce à la prise en charge du protocole ACME et à l’automatisation complète du cycle de vie, vous pouvez préserver la garantie d’identité offerte par les certificats EV tout en évitant les interruptions de service causées par les certificats expirés.