Certificate Authority (CA)

Définition

Une Autorité de Certification (CA — Certificate Authority) est une entité de confiance qui délivre des certificats numériques X.509 après avoir vérifié l'identité du demandeur. La CA constitue la pierre angulaire de la PKI (Public Key Infrastructure) en garantissant qu'une clé publique appartient bien à l'entité qui la présente. La confiance en une CA est établie hiérarchiquement. Les Root CA (Autorités de Certification Racines) sont les CA de plus haut niveau, dont les certificats auto-signés sont pré-installés dans les magasins de certificats des systèmes d'exploitation (Windows Certificate Store, macOS Keychain, NSS de Mozilla) et des navigateurs. Il existe environ 150 Root CA reconnues mondialement, contrôlées par des organisations comme DigiCert, Sectigo, Let's Encrypt, ISRG, Comodo, et des CAs gouvernementales nationales. Les CA intermédiaires (Intermediate CA ou SubCA) sont signées par les Root CA et délèguent leur autorité pour émettre des certificats finaux. Cette architecture en couches protège les Root CA en les gardant hors ligne (air-gapped) : une compromission d'une CA intermédiaire peut être révoquée sans compromettre la Root CA. Les certificats finaux (feuilles) sont signés par les CA intermédiaires et incluent le nom de domaine (CN), l'organisation, la période de validité, et l'usage autorisé. Les types de certificats délivrés par les CA incluent : DV (Domain Validation) — vérifie uniquement le contrôle du domaine, délivré en minutes, utilisé pour HTTPS basique ; OV (Organization Validation) — vérifie l'existence légale de l'organisation, quelques jours ; EV (Extended Validation) — vérification approfondie, délivrait autrefois une barre verte dans les navigateurs, maintenant moins différenciée visuellement mais toujours plus rigoureuse. Les certificats wildcard (*.domaine.fr) couvrent tous les sous-domaines, et les certificats SAN (Subject Alternative Names) couvrent plusieurs domaines. Les CA commerciales (DigiCert, Sectigo) dominent le marché des certificats OV/EV pour les entreprises. Let's Encrypt, CA gratuite et automatisée de l'ISRG, a révolutionné le marché en proposant des certificats DV gratuits avec renouvellement automatique via le protocole ACME, portant le taux HTTPS mondial de moins de 30% en 2015 à plus de 90% aujourd'hui.