20200302 - Limitation de la durée de vie autorisée des certificats SSL sur Safari
Au cours d'une réunion du CA/B Forum en février 2020, Apple a annoncé la limitation de la durée de vie des certificats SSL sur son navigateur Safari.
Plusieurs fois mise au vote à la demande des éditeurs de navigateurs, cette proposition a, à chaque fois, été rejetée par le CA/B Forum au cours des dernières années. Apple prend donc une décision unilatérale pour son produit.
Pour autant il ne s'agit pas d'une surprise. La norme évolue constamment et la durée de vie des certificats a été diminuée de manière progressive. Il ne s'agissait que d'une question de temps avant d'en arriver à cette limitation voulue par la plupart des navigateurs.
Notez que les certificats valides 2 ans ne sont pas (encore) condamnés. Ils ne seront simplement plus reconnus par Safari.
Pourquoi ?
Une durée de vie réduite oblige les autorités de certification à renouveler leurs audits de manière plus régulière et donc à réduire les risques d'inadéquation entre certificat et organisation. De même, des produits valides moins longtemps permettent d’accélérer et de faciliter les migrations résultant d'évolutions technologiques (passage du SHA1 au SHA2 par exemple).
Pour quand ?
La date butoir est prévue pour le 1er septembre 2020.
Quel impact pour les certificats existants ?
Aucun. Safari ne rejettera que les certificats valides plus de 398 jours et émis après septembre 2020. En clair : les certificats valides 2 ans émis avant septembre seront acceptés par le navigateur.
Comment se préparer ?
Aucune action spécifique ne sera nécessaire. Cependant si vous souhaitez vous munir de certificats valides 2 ans il faudra le faire en août 2020 au plus tard (si vous souhaitez conserver la reconnaissance Safari).
Les solutions à envisager à l'avenir
Renouveler un certificat tous les ans implique une multiplication des étapes techniques (création de CSR, installation, DCV) et administratives (audit). La charge de travail peut être lourdement impactée. Les autorité mettent donc progressivement en place de nouvelles offres pour alléger les procédures liées à l'achat d'un certificat SSL.
Les forfaits
Aujourd'hui, Sectigo, propose, via sa marque PositiveSSL, des forfaits SSL :
Récemment mis en place, ils permettent l'achat de certificats SSL pour des durées de vie de 3, 4 ou même 5 ans.
Les certificats sont émis pour la durée de validité maximale autorisée et doivent ensuite être refabriqués pour obtenir de nouvelles date de validité.
Les renouvellements automatiques
Via votre espace client il est désormais possible d'activer le renouvellement automatique sur tout ou partie de vos certificats SSL serveur.
Une fois fait, le dépôt de vos demandes de renouvellement est effectué de manière automatique. Le reste de la procédure ne change pas : audit, DCV, installation...
Les autorités de certification
À partir du 1er septembre 2020 au plus tard les autorités de certification cesseront d'émettre des certificats SSL serveur valides plus d'un an. Ces dernières s'assurent ainsi que ses racines continueront d'être reconnu par Safari.
Sectigo et TBS X509
Sectigo cessera d'émettre des certificats valide 2 ans au 19 août 2020. Au delà de cette date, vos commandes ne seront pas annulées mais seront livrées sous forme de forfait.
GlobalSign
L'autorité continuera d'émettre des certificats valide 2 ans jusqu'à la date butoir c'est à dire le 31 août 2020.
Harica
Harica prend un peu d'avance et cessera les émissions de ces certificats au 1er août 2020.
Certigna
Certigna acceptera les commandes jusqu'au 15 août mais annulera toute demande présentant un dossier incomplet au 21 août 2020.
Toute demande pour un certificat valide 2 ans présentant un dossier incomplet au 14 août 2020 à 16h00 sera annulée.
Groupe DigiCert
Le groupe DigiCert (DigiCert, Thawte et Geotrust) acceptera les demandes de certificats SSL serveur valide 2 ans jusqu'au 27 août 2020 pour les organisations ayant déjà été auditées (ayant commandé récemment d'autres produits. Pour les autres organisations, DigiCert n'acceptera de nouvelles commandes que jusqu'au 12 août 2020.
Toute demande pour un certificat valide 2 ans non émis au 26 août 2020 à 17h00 sera annulée.
La position de TBS
TBS pourrait cesser la vente des produits concernés avant ces dates pour prendre compte les temps de traitement et assurer l'émission de tous les dossiers.