Lexique · Sécurité des données
Autorité de certification
Organisme qui atteste, en les signant, que des certificats électroniques appartiennent bien à leur titulaire (un nom de domaine, une organisation, un éditeur de logiciel). Un navigateur accepte le certificat HTTPS d'un site parce qu'il remonte, par une chaîne de signatures, à une racine que son magasin de confiance reconnaît.
En pratique pour une organisation
Une autorité de certification fonctionne en chaîne. Ses certificats racines, conservés hors ligne, figurent dans les magasins de confiance des navigateurs et des systèmes d’exploitation ; ils signent des autorités intermédiaires, opérées en ligne, qui signent à leur tour les certificats des sites ou des logiciels. Pour être reconnue, une autorité doit être admise par chaque programme racine (Mozilla, Chrome, Apple, Microsoft), respecter les exigences de base du CA/Browser Forum, se soumettre à des audits annuels et déclarer ses intermédiaires dans une base commune, la CCADB. Ses incidents sont instruits publiquement, dans le Bugzilla de Mozilla notamment.
Pour une organisation, le choix d’une autorité relève de la gestion des fournisseurs : un défaut chez elle touche tous ses clients, qui devront remplacer leurs certificats si sa racine perd la confiance des navigateurs. À l’inverse, les logiciels internes qui font confiance à toutes les autorités publiques, pour l’authentification par certificat client par exemple, héritent des erreurs de chacune d’entre elles.
Exemple
En octobre 2026, huit autorités intermédiaires de l’autorité indienne eMudhra se sont révélées dotées de clés privées d’un seul octet utile, que n’importe qui pouvait recalculer. Chrome et Firefox les ont bloquées en quelques heures, puis Mozilla a retiré de son magasin la racine qui les avait signées.
À ne pas confondre avec
- Le certificat : le document signé par l’autorité, qui associe une clé publique à un titulaire ; l’autorité est l’émetteur, le certificat ce qu’elle émet.
- Le magasin de confiance : la liste des racines qu’un navigateur, un système ou une bibliothèque accepte ; une même autorité peut y figurer chez un éditeur et en être retirée chez un autre.
- Le prestataire de services de confiance qualifié : au sens du règlement eIDAS, une autorité supervisée par un organe national pour délivrer des certificats qualifiés, par exemple de signature électronique, cadre distinct des programmes racines des navigateurs.
