mTLS (Mutual TLS)

Définition

Le mTLS (Mutual TLS — TLS Mutuel) est une extension du protocole TLS dans laquelle les deux parties de la communication (client ET serveur) présentent et valident mutuellement des certificats X.509 pour prouver leur identité. Contrairement au TLS standard où seul le serveur s'authentifie, le mTLS établit une authentification bidirectionnelle forte, sans mot de passe ni token. Dans le TLS classique, le serveur présente son certificat au client qui le valide (chaîne CA, expiration, usage). Dans le mTLS, le serveur demande également un certificat client (Client Certificate Request), que le client présente après l'avoir signé avec sa clé privée. Le serveur vérifie ce certificat contre sa propre liste de CA de confiance (truststore). Ce processus garantit que seuls les clients authentifiés avec un certificat valide peuvent établir une connexion. Le mTLS est le mécanisme d'authentification privilégié dans les architectures Zero Trust et les environnements microservices. Dans les clusters Kubernetes avec un service mesh (Istio, Linkerd, Consul Connect), le mTLS est activé automatiquement entre tous les pods, garantissant que chaque service ne peut communiquer qu'avec les services autorisés, et que tout le trafic inter-service est chiffré et authentifié. Cette approche implémente le principe Zero Trust au niveau du réseau : "Never Trust, Always Verify". Les cas d'usage principaux incluent : les API B2B où les partenaires s'authentifient avec des certificats plutôt que des API keys (qui peuvent être volées) ; l'accès aux systèmes de paiement et de back-office bancaire ; les connexions entre équipements industriels (IoT, OT) qui ne supportent pas les méthodes d'authentification interactives ; et les connexions entre data centers ou régions cloud d'une même organisation. La gestion des certificats clients dans le mTLS nécessite une PKI interne robuste. Les outils comme HashiCorp Vault (avec le moteur PKI), CFSSL (CloudFlare SSL), ou la CA interne de cert-manager permettent d'automatiser l'émission et le renouvellement des certificats clients, réduisant la charge opérationnelle. La révocation rapide en cas de compromission d'un certificat client est un point d'attention : OCSP ou CRL doivent être configurés et vérifiés par le serveur.