X.509 Certificate

Définition

Un certificat X.509 est un document numérique standardisé qui lie une clé publique à une identité (personne, organisation, serveur, appareil), signé par une Autorité de Certification (CA) qui atteste de cette liaison. Ce format, défini par l'ITU-T et l'IETF (RFC 5280), constitue la base de la PKI et est utilisé pour HTTPS, les emails signés, le code signing, l'authentification mutuelle, et des centaines d'autres applications. Un certificat X.509 contient les informations suivantes : la version du certificat (v3 est standard), le numéro de série unique chez la CA émettrice, l'algorithme de signature utilisé, le Distinguished Name (DN) de l'émetteur (CA), la période de validité (dates de début et fin), le DN du sujet (propriétaire du certificat), la clé publique du sujet et son algorithme, les extensions (usages clés, noms alternatifs SANs, usage étendu, politique de certificat, Points de Distribution CRL, URL OCSP), et enfin la signature de la CA sur l'ensemble du contenu. Les extensions X.509 v3 sont cruciales pour la sécurité : Basic Constraints indique si le certificat peut être une CA (importante pour éviter les chaînes malveillantes), Key Usage définit les opérations autorisées (signature numérique, chiffrement de clé, signature de certificat), Extended Key Usage précise les applications (TLS serveur, TLS client, code signing, email, authentification smartcard), et Subject Alternative Names (SANs) listent les noms de domaines couverts. La durée de validité des certificats TLS publics est limitée à 13 mois maximum depuis 2020 (décision de l'Apple Root Program). Cette limitation réduit l'exposition en cas de compromission et encourage l'automatisation du renouvellement. Let's Encrypt émet des certificats valides 90 jours pour maximiser la rotation et la sécurité. La gestion du cycle de vie des certificats (CLM — Certificate Lifecycle Management) est un enjeu opérationnel majeur. Les organisations avec des milliers de certificats font face au risque d'expiration inattendue pouvant causer des interruptions de service. Des solutions de CLM automatisées (Venafi, AppViewX, CertManager pour Kubernetes, AWS ACM) inventorient, surveillent et renouvellent automatiquement les certificats, prévenant les pannes liées aux expirations et assurant la conformité des algorithmes.