Un certificat numérique atteste qu'une clé publique appartient à une entité spécifique. Il contient la clé publique, l'identité du propriétaire, la période de validité et la signature numérique d'une autorité de certification. Lorsque votre navigateur se connecte à un site web, le serveur présente son certificat. Le navigateur vérifie la signature par rapport à sa liste d'autorités de certification de confiance. Si la signature est valide et que le domaine correspond, la connexion est établie. Dans le cas contraire, le navigateur vous avertit.

Les certificats utilisent la norme X.509. Ils servent au protocole HTTPS, au chiffrement des courriels, à la signature de code et à l'authentification des clients. Le certificat lui-même n'est pas secret ; il est public par conception. La sécurité repose sur la signature de l'autorité de certification, difficile à falsifier. Les certificats expirent. Leur courte durée de vie limite les dégâts en cas de compromission d'une clé privée. Let's Encrypt délivre des certificats gratuits valables 90 jours et automatise leur renouvellement. Cette automatisation a permis à l'adoption du protocole HTTPS de passer d'environ la moitié du trafic web à plus de 90 %. Le système fonctionne bien lorsqu'il est simple. Dans le cas contraire, les utilisateurs l'abandonnent.

Contenu du certificat

• Clé publique — la clé en cours de certification
• Sujet — l'identité du propriétaire
• Émetteur — l'autorité de certification
• Période de validité — dates de début et d'expiration
• Signature — l'approbation cryptographique de l'AC

Un certificat est un passeport pour une clé publique. Il indique à qui appartient la clé et qui garantit cette propriété.