Qu'est-ce que la validation de domaine ?

La validation de domaine relève d'un choix de confiance, et non d'une simple formalité

Chaque cadenas HTTPS qui s'affiche dans votre navigateur représente une décision. Avant qu'une autorité de certification (CA) ne délivre le certificat correspondant à ce cadenas, elle a dû déterminer si elle pouvait faire confiance à la demande et définir les informations que le certificat serait autorisé à mentionner. Cette décision s'appelle la validation ; c'est le mécanisme discret qui empêche la confiance en ligne de sombrer dans le chaos.

La validation est essentielle, car les garanties cryptographiques entre le client et le serveur ne suffisent pas à elles seules. Pour illustrer ce principe, les certificats SSL/TLS remplissent deux fonctions : d’une part, la cryptographie garantit que la communication a bien été établie avec le titulaire du certificat et que le trafic ne peut être ni lu ni altéré par des espions ; d’autre part, la validation garantit que les deux parties communicantes sont bien celles qu’elles prétendent être dans le certificat. L’infrastructure à clé publique (PKI) qui régit les certificats fonctionne comme un « Service des immatriculations » numérique : elle vérifie et attribue des certificats aux identités qui en font la demande ; et un certificat lui-même s’apparente un peu à un permis de conduire, puisqu’il contient des informations sur son titulaire ainsi qu’une date d’expiration.

La validation de domaine (DV) est la plus courante et la plus rapide de ces procédures de validation. Ce guide explique ce que la validation DV permet réellement de garantir, en quoi elle diffère des niveaux de validation plus stricts, qui définit les règles, comment les autorités de certification (CA) procèdent à la validation et l’automatisent, et pourquoi une validation correcte constitue un choix de sécurité fondamental plutôt qu’une simple étape de configuration ponctuelle. Si vous souhaitez d’abord avoir une vue d’ensemble de la structure des certificats, il est utile de comprendrece qu’est un certificat « SSL » / «TLS ».

Ce que la validation de domaine permet réellement de vérifier

Voici la définition « réponse d'abord » : la validation de domaine (DV) confirme que le demandeur contrôle le domaine mentionné dans le certificat, et rien de plus. Une autorité de certification (CA) qui délivre un certificat DV vérifie que la partie qui en fait la demande est propriétaire ou contrôle le domaine, généralement au moyen d'une vérification sommaire. Aucune information relative à l'organisation n'est vérifiée ni affichée.

En d'autres termes, les certificats DV vérifient l'identité du serveur, tandis que les certificats offrant un niveau de garantie plus élevé vont plus loin et vérifient l'identité juridique de l'organisation derrière le site. Il est important d'être précis quant à leur champ d'application. Un certificat DV prouve que votre connexion aboutit bien au domaine que vous avez demandé. Il ne donne aucune indication sur l'identité juridique de l'entreprise qui exploite le site, ni sur la fiabilité de cette entreprise.

La cryptographie en elle-même reste identique. Les certificats DV permettent d'utiliser exactement les mêmes algorithmes et protocoles cryptographiques que n'importe quel autre certificat. La seule différence entre les différents niveaux de validation réside dans le niveau d'assurance, c'est-à-dire la rigueur de la vérification d'identité effectuée par l'autorité de certification (CA) et les informations qu'elle consigne dans le certificat.

Ce que la validation de domaine ne prouve pas (et pourquoi c'est important)

Comme les certificats DV ne vérifient que le contrôle du domaine et jamais l’activité qui se cache derrière, un certificat DV valide ne constitue pas un gage de légitimité. Cette lacune a des conséquences concrètes. Les cybercriminels peuvent acheter des certificats DV à un prix relativement modique, parfois sur le marché noir, afin de donner une apparence de légitimité à des sites de hameçonnage et d’usurpation d’identité, et d’inciter des visiteurs peu méfiants à divulguer des informations financières ou personnelles. Une mauvaise gestion des certificats aggrave le problème, car un certificat DV compromis ou volé peut être difficile à distinguer d’un certificat légitime.

Ce qu'il faut retenir, ce n'est pas que le DV soit mauvais. C'est plutôt que le cadenas et un certificat DV confirment l'existence d'une connexion privée et chiffrée vers un domaine spécifique, et non que le propriétaire du domaine mérite votre confiance. Cette distinction sert de base à la fois à la comparaison qui suit et à la section expliquant pourquoi la validation est importante.

Comparaison entre la validation de domaine et les niveaux de validation supérieurs

Du point de vue de la DV, les trois niveaux de validation se distinguent par le degré de rigueur avec lequel l'autorité de certification vérifie l'identité, par les informations figurant dans le certificat et par la durée de délivrance. La cryptographie reste inchangée pour les trois niveaux.

Niveau de validation	Ce que vérifie l'autorité de certification	Délai habituel de délivrance	Cas d'utilisation le plus adapté
Validation par domaine (DV)	Contrôle du domaine uniquement ; aucune information sur l'organisation	Procès-verbal	Sites personnels, blogs, services internes ou non commerciaux
Validé par l'organisation (OV)	Le contrôle du domaine ainsi que l'existence juridique de l'organisation, tels qu'ils figurent dans le certificat	Plus long, nécessite de contacter CA	Sites et applications commerciaux qui collectent des données sur les utilisateurs
Validation étendue (EV)	Un examen approfondi de l'identité juridique, matérielle et opérationnelle de l'organisation, lancé à l'initiative de celle-ci	Le processus de sélection le plus long et le plus rigoureux	Les sites très fréquentés, souvent ciblés par les attaques de hameçonnage, tels que les banques et les grands détaillants

La validation de domaine est le type de validation le plus simple et le plus rapide ; elle est généralement délivrée en quelques minutes, ce qui explique en grande partie pourquoi il s'agit du certificat le plus répandu sur le Web. La validation d'organisation ajoute une vérification de l'existence légale de l'organisation et consigne ces informations dans le certificat. La validation étendue, régie par les directives EV du CA/Browser Forum qui, comme le souligne Keyfactor , ont été établies en 2007, implique un examen plus rigoureux et peut déclencher l'affichage d'indicateurs d'identité renforcés dans certains navigateurs. La validation d'organisation et la validation étendue ne sont abordées ici qu'à titre de référence, car elles font l'objet d'une analyse approfondie dans d'autres sections.

Pour vérifier quel niveau de validation correspond au certificat, vous pouvez ouvrir un terminal et exécuter la commande suivante :

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -text

Recherchez l'extension « X509v3 Certificate Policies » dans le résultat. La validation par domaine est indiquée par l'identifiant réservé 2.23.140.1.2.1. Une valeur différente dans ce champ signifie que le certificat a été émis selon un niveau différent ; pour en savoir plus sur ce qui les distingue, consultez notre page dédiée àla validation des certificats.

Quand la validation du domaine suffit (et quand ce n'est pas le cas)

Le choix concret dépend de la nature de votre site. Étant donné que le certificat DV ne vérifie aucune information relative à l'organisation, il est plus adapté aux sites personnels ou internes, aux blogs et aux services non commerciaux, pour lesquels la rapidité et la simplicité priment sur l'affichage de l'identité.

Les sites commerciaux et destinés au grand public relèvent d’un autre cas de figure. Les sites qui gèrent des connexions, traitent des paiements ou manipulent des données réglementées devraient envisager les certificats OV ou EV, recommandés pour les sites Web et applications commerciaux qui collectent des données utilisateur. Ces niveaux supérieurs offrent aux visiteurs une identité organisationnelle vérifiée à laquelle ils peuvent se fier, ce qui revêt une importance capitale précisément là où les attaquants concentrent leurs efforts de phishing. Si votre site est un projet personnel ou un outil interne, le certificat DV est généralement le choix le plus approprié. S'il collecte des données sensibles, considérez le certificat DV comme un minimum requis, et non comme un maximum acceptable.

Qui est chargé de la validation et quelle est la source de référence ?

La validation n'est pas une procédure que chaque autorité de certification (CA) élabore de son propre chef. Les règles émanent du CA/Browser Forum, un organisme volontaire regroupant des autorités de certification ainsi que des éditeurs de navigateurs et d'autres software qui utilisent des certificats. Le Forum publie les « Exigences de base de l'TLS », qui définissent les méthodes autorisées qu'une CA doit utiliser pour valider le contrôle d'un domaine, et les CA sont tenues de les respecter.

Pour vérifier ce contrôle, une autorité de certification (CA) consulte des sources externes faisant autorité plutôt que de se fier aux déclarations du demandeur. Le protocole WHOIS, ainsi que son successeur, le protocole RDAP, permettent d’identifier le contact enregistré pour un domaine. Le service DNS fournit des enregistrements faisant autorité que seule une personne contrôlant la zone du domaine peut modifier. Et à la base de tout cela se trouve l’autorité de certification racine (CA racine), qui sert de source fiable garantissant l’intégrité de l’ensemble de la chaîne : votre navigateur fait confiance au certificat car celui-ci est lié à une racine à laquelle il fait déjà confiance. C’est grâce à cette architecture en couches que le contrôle d’un domaine, vérifié par rapport à des enregistrements que le demandeur ne peut pas facilement falsifier, suffit à valider un certificat DV.

Ce cadre est activement appliqué et fait l’objet d’un durcissement constant. La durée de validité maximale autorisée pour un certificat est aujourd’hui de 200 jours, mais le CA/Browser Forum a adopté une résolution visant à réduire considérablement cette durée, qui passera à 100 jours d’ici 2027, puis à seulement 47 jours d’ici 2029. Des durées de validité plus courtes impliquent que la validation et le renouvellement ont lieu beaucoup plus fréquemment, ce qui constitue la principale raison pour laquelle le secteur passe des contrôles manuels à l’automatisation.

Comment s'effectue la validation de domaine : les méthodes de validation

Lorsqu'une autorité de certification (CA) doit vérifier qu'un demandeur contrôle bien un domaine, elle s'appuie sur un petit ensemble de méthodes normalisées définies dans les « Baseline Requirements ». Chacune de ces méthodes demande au demandeur de prouver son contrôle d'une manière difficile à simuler, généralement en démontrant qu'il est capable de recevoir un message ou d'enregistrer une valeur spécifique sur une infrastructure dont seul le propriétaire du domaine a le contrôle. Les trois méthodes ci-dessous sont celles que la plupart des opérateurs de sites rencontrent le plus souvent.

E-mail envoyé à un contact du domaine

Dans cette méthode, l’autorité de certification (CA) envoie un message contenant une valeur aléatoire unique à une adresse associée au domaine, et le contrôle est confirmé lorsque le destinataire renvoie cette valeur. Auparavant, la CA pouvait rechercher le contact enregistré dans l’enregistrement WHOIS, mais la variante largement utilisée aujourd’hui consiste à envoyer un e-mail à une adresse spécialement créée : une boîte aux lettres standard telle que admin@, administrator@, webmaster@, hostmaster@ ou postmaster@ sur le domaine à valider. Le demandeur récupère la valeur aléatoire et répond pour prouver qu’il contrôle le domaine. La valeur aléatoire est à usage unique pour cette requête et, conformément aux exigences de base, reste valable pendant 30 jours au maximum. Le principe est simple : seule une personne contrôlant la messagerie du domaine peut recevoir et renvoyer le code.

DNS modification de l'enregistrement

Ici, le demandeur prouve qu’il détient l’autorité sur la zone DNS du domaine en publiant une valeur fournie par l’autorité de certification (CA). La CA demande qu’une valeur aléatoire unique ou un jeton de requête figure dans un enregistrement DNS , généralement un enregistrement TXT, et parfois un enregistrement CNAME ou CAA, au niveau du nom de domaine d’autorisation, souvent sous un libellé préfixé par un trait de soulignement. Dès que l’autorité de certification interroge DNS et constate la présence de la valeur attendue, le contrôle est confirmé. Étant donné que seule la partie qui gère le fichier DNS d’un domaine peut ajouter des enregistrements à sa zone, une vérification DNS réussie constitue une preuve solide du contrôle, et cette méthode est particulièrement adaptée à l’automatisation et à la validation des domaines génériques.

Méthode du fichier HTTP (fichier de vérification)

La méthode basée sur les fichiers consiste à demander au demandeur de placer un jeton fourni par l’autorité de certification (CA) à un emplacement où seul l’opérateur du site peut l’accéder. La CA fournit un jeton de requête ou une valeur aléatoire, et le demandeur l’enregistre dans un fichier sur le serveur web, dans le répertoire /.well-known/pki-validation/. La CA récupère ensuite ce fichier via HTTP ou HTTPS sur un port autorisé et doit recevoir une réponse positive (2xx) contenant la valeur attendue. Les variantes automatisées modernes de cette approche, notamment le défi HTTP ACME défini dans la RFC 8555, fonctionnent fondamentalement de la même manière : elles prouvent le contrôle en renvoyant une valeur spécifique depuis le serveur web lui-même. Comme pour les autres méthodes, le jeton a une durée de validité limitée à 30 jours maximum.

Automatisation de la validation de domaine avec ACME

Effectuer ces vérifications manuellement reste faisable lorsqu'un certificat a une durée de validité d'un an. Cela devient toutefois impraticable lorsque les certificats ne durent que quelques semaines. C'est là qu'intervient l'ACME (Automated Certificate Management Environment). L'ACME est un protocole qui permet à un client et à une autorité de certification (CA) d'effectuer la validation de domaine, l'émission, le renouvellement et la révocation de manière automatisée, sans qu'un utilisateur n'ait à cliquer sur un lien de vérification.

ACME facilite l’émission, le renouvellement et la révocation automatiques des certificats en rationalisant les interactions entre un serveur web et l’autorité de certification (CA). Développé à l’origine pour Let’s Encrypt, il est désormais largement pris en charge par les autorités de certification et les fournisseurs d’ PKI . Son essor est directement lié à la réduction des durées de validité évoquée précédemment : alors que la durée maximale de validité devrait atteindre 47 jours d’ici 2029, la validation et le renouvellement manuels ne peuvent tout simplement pas suivre le rythme, et l’automatisation devient le seul moyen fiable d’éviter les expirations. ACME fait partie d’une sériede protocoles d’inscription automatisés, tels que SCEP et EST,qui rendent la gestion des certificats évolutive.

Pourquoi la validation des certificats est-elle importante ?

La validation est à la base de la décision de confiance prise par votre navigateur lors de chaque connexion sécurisée. En confirmant qu’un certificat appartient bien au domaine que vous visitez, la validation permet d’empêcher les attaques de type « homme du milieu », dans lesquelles un pirate intercepte le trafic entre vous et un site afin de voler vos identifiants ou vos données. Sans validation fiable, un pirate pourrait mettre en place un faux site et se substituer discrètement à votre session bancaire.

La validation est également la faille que les pirates tentent d’exploiter. Les certificats DV étant peu coûteux et rapides à obtenir, les cybercriminels s’en servent pour dissimuler des sites de hameçonnage ; c’est précisément pour cette raison qu’une assurance d’identité allant au-delà du contrôle du domaine est essentielle pour les sites traitant des transactions sensibles. De plus, la validation favorise la conformité : les réglementations et normes telles que PCI DSS, HIPAA et le RGPD exigent des organisations qu’elles protègent les données financières, médicales et personnelles, et des certificats correctement validés et bien gérés font partie intégrante du respect de ces obligations.

Enfin, la validation n'est plus une opération ponctuelle. À mesure que les durées de vie se raccourcissent, une validation et un renouvellement fiables deviennent des impératifs opérationnels permanents. Un renouvellement manqué peut entraîner la mise hors ligne d'un site ou d'une application, éroder la confiance des utilisateurs et créer une faille de sécurité ; une validation fiable est donc désormais une exigence permanente, et non plus une simple case à cocher lors du lancement.

Comment Keyfactor vous aider

À l'échelle de l'entreprise, le défi consiste rarement à valider un seul domaine. Il s'agit plutôt de valider, d'émettre et de renouveler des milliers de certificats de manière cohérente, alors que leur durée de vie ne cesse de diminuer. Keyfactor vous permet d'identifier, de gérer et d'automatiser l'ensemble des certificats au sein de votre entreprise, permettant ainsi à vos équipes de passer d'une approche réactive de gestion des urgences à une approche proactive axée sur la visibilité et le contrôle.

Cela implique un inventaire automatisé qui vous permet de connaître précisément le nombre de certificats dont vous disposez et la date d'expiration de chacun, une émission et un renouvellement automatisés via des protocoles standard, notamment ACME, ainsi qu'une validation et une application cohérentes des politiques sur plusieurs autorités de certification. Keyfactor AgileSecpermet de recenser et de créer un inventaire des actifs cryptographiques, y compris les certificats, à l'échelle de l'entreprise. Keyfactor Command se concentre sur l’automatisation du cycle de vie des certificats et la prévention des interruptions de service, tandis que EJBCA prend en charge la délivrance moderne de certificats « PKI » à grande échelle. Ensemble, ces solutions aident les organisations à anticiper le passage aux certificats d’une durée de 47 jours sans charge de travail manuelle, et à appliquerles meilleures pratiques de gestion du cycle de vie des certificatsde manière systématique plutôt que ponctuelle.