Les 3 piliers de l'excellence des autorités de certification (CAs) publiques
Les autorités de certification publiques (CAs) garantissent la confiance sur internet, mais toutes ne respectent pas les standards les plus élevés. Une véritable excellence repose sur trois piliers : l’éthique, en mettant l’intérêt public avant les profits ; la technique, avec l’automatisation et l’innovation ; et l’intellect, en favorisant le leadership et les meilleures pratiques. Sectigo incarne ces principes en assurant transparence et sécurité pour un Web PKI fiable.
Le fondement de la confiance sur l'internet repose sur l'infrastructure invisible de l'infrastructure à clé publique (PKI) du web. Chaque site web sécurisé, chaque courrier électronique fiable ou chaque document authentifié dépend de la fonctionnalité rigoureuse des autorités de certification (AC). Pourtant, toutes les autorités de certification ne sont pas égales, loin s'en faut. Loin de là. Certaines incarnent les principes fondamentaux de l'excellence, tandis que d'autres sont loin d'être à la hauteur, mettant en péril la confiance même qu'elles sont chargées de préserver.
Pour être un véritable leader dans le domaine de l'AC, il faut maîtriser trois piliers essentiels : éthique, technique et intellectuel. Chacun d'eux est indispensable et ce n'est qu'en excellant dans les trois qu'une AC pourra assurer son rôle de gardien fiable du monde numérique.
Excellence éthique : priorité au bien public
L'excellence éthique est l'épine dorsale d'une CA digne de confiance. En tant que gardiennes de la sécurité de l'internet, les AC publiques doivent placer les besoins de l'écosystème de la PKI web au-dessus des intérêts étroits des entreprises ou des gains à court terme. Ce principe n'est pas négociable et est inscrit dans le terme même d'« AC publique ». Les intérêts du public doivent toujours l'emporter sur ceux des actionnaires de l'AC, des entreprises propriétaires, des bailleurs de fonds gouvernementaux ou d'autres parties prenantes externes.
Malheureusement, trop d'AC échouent à ce test. Des pratiques telles que la révocation délibérément retardée - où les certificats compromis restent valides bien plus longtemps qu'ils ne le devraient - sapent l'intégrité du web. Des incidents récents ont montré à quel point ces manquements peuvent être catastrophiques, comme les échecs de révocation en masse qui ont entamé la confiance des utilisateurs et remis en question la compétence des principaux acteurs du secteur.
Un véritable leadership éthique implique d'assumer ses erreurs, de s'attaquer de manière transparente aux causes profondes et de s'engager dans une démarche d'amélioration continue. Chez Sectigo, nous avons adopté cette philosophie il y a plusieurs années. En 2020, nous avons pris la tête du secteur en interdisant unilatéralement les retards délibérés dans les révocations de certificats imposées par le BR et nous avons mis en place des systèmes robustes pour garantir que nos actions préservent l'intégrité de l'internet. Le leadership éthique n'est pas seulement une question de conformité - il s'agit de montrer l'exemple.
Excellence technique : automatisation et innovation
L'excellence technique est le deuxième pilier du leadership de l'AC. Pour préserver l'écosystème de confiance de l'internet, les AC doivent donner la priorité à l'exactitude, à la fiabilité et à la cohérence. Ces objectifs ne peuvent être atteints qu'en réduisant les erreurs humaines et en s'appuyant sur des systèmes programmatiques avancés et reproductibles.
Chez Sectigo, nous avons adopté ce principe en investissant massivement dans l'automatisation. Au cours des trois dernières années, nous avons apporté plus d'innovations technologiques qu'au cours de la décennie précédente. Cet engagement s'est traduit par une délivrance plus rapide et plus précise des certificats et par une réduction sensible des erreurs humaines.
Mais le leadership technique ne se limite pas à l'efficacité opérationnelle. Il s'agit aussi de contribuer à l'ensemble du secteur. Il s'agit notamment de créer des outils tels que pkimetal et crt.sh et de les offrir gratuitement afin d'améliorer la transparence et la qualité dans l'ensemble de l'écosystème. Nous exploitons nos journaux de transparence des certificats Sabre et Mammoth et avons joué un rôle clé dans le développement de solutions pour le support MPIC. En partageant des innovations comme celles-ci, nous nous assurons que la WebPKI reste robuste et sûre pour tous les participants.
Excellence intellectuelle : leadership éclairé et engagement de l'écosystème
L'excellence intellectuelle consiste à remettre en question le statu quo, à élever les normes de l'industrie et à inspirer les meilleures pratiques. Chez Sectigo, nous prenons la responsabilité d'éduquer la communauté, en partageant nos idées par le biais de livres blancs, de podcasts et de plaidoyers. Notre podcast Root Causes, avec plus de 450 épisodes, fournit des informations critiques sur la sécurité.
Sectigo occupe cinq sièges au sein du CA/Browser Forum (CABF) - plus que tout autre CA dans l'histoire - et un siège à l'ETSI, démontrant ainsi son engagement envers les normes de l'industrie, et a dirigé l'éducation des entreprises sur la cryptographie post-quantique (PQC). En outre, Sectigo a été la première AC publique à développer une plateforme de gestion du cycle de vie des certificats (CLM) agnostique.
L'amélioration de l'industrie, la promotion de normes de sécurité plus élevées et le rôle clé joué dans des initiatives telles que la réduction de la durée de vie des certificats et la réforme de la révocation sont autant d'exemples qui repoussent les limites. Sectigo vise à créer un paysage de cybersécurité plus sûr, transparent et prêt pour l'avenir.
Un appel à l'action
Les trois piliers de l'excellence de l'AC - le leadership éthique, technique et intellectuel - ne sont pas seulement de grands idéaux. Ce sont des nécessités. L'écosystème de la PKI web dépend de chaque AC pour agir de manière responsable, innover avec audace et s'engager de manière réfléchie. Pourtant, trop d'AC ne répondent pas à ces attentes, laissant des brèches dans le mur de la forteresse de la sécurité sur Internet.
Chez Sectigo, nous croyons qu'il faut passer à l'action. Nous avons intégré ces piliers dans tout ce que nous faisons et nous cherchons à montrer l'exemple. Mais la responsabilité d'une PKI web sécurisée ne repose pas sur une seule organisation. À chaque autorité de certification, nous demandons de faire mieux, de se montrer à la hauteur et de s'engager à respecter les principes de la confiance publique.
Les enjeux ne pourraient être plus élevés. Le temps du leadership est venu.