Pourquoi la réduction de la durée de validité des certificats est-elle importante pour la cybersécurité ?

Pourquoi une durée de validité plus courte des certificats améliore-t-elle la cybersécurité ?

La cybersécurité a connu un changement de mentalité, et aujourd’hui, la confiance ne va plus de soi. Alors que les certificats numériques jouent un rôle croissant dans l’établissement d’identités fiables et de connexions chiffrées, il est indispensable de maintenir cette confiance à jour, car les organisations s’appuient de plus en plus sur les certificats dans l’ensemble de leur infrastructure numérique.

La réduction de la durée de validité des certificats soutient cette évolution en limitant la durée pendant laquelle une confiance potentiellement obsolète ou compromise peut perdurer. Elle oblige également les organisations à valider et à remplacer les certificats plus fréquemment, ce qui renforce l’importance de la gestion automatisée du cycle de vie des certificats (CLM) pour maintenir la sécurité, l’agilité et la continuité.

Des durées de validité plus courtes limitent la fenêtre d’exposition

Les présentations générales du cycle de vie des certificats se concentrent souvent sur la manière dont les certificats numériques sont détectés, émis ou renouvelés, mais les durées de validité jouent également un rôle important dans la limitation des risques de sécurité.

Une durée de validité plus courte limite la durée maximale pendant laquelle un certificat numérique peut rester fiable si sa clé est compromise, si ses informations deviennent obsolètes ou si un autre problème de sécurité passe inaperçu. Les durées de validité plus longues s’accompagnent d’une fenêtre d’exposition plus large et peuvent donc permettre à des certificats potentiellement problématiques de rester valides plus longtemps.

La révocation permet de remédier aux cas connus de compromission de certificats, mais que se passe-t-il lorsque des problèmes liés aux certificats passent inaperçus ? C’est là que l’expiration offre une protection essentielle. Une fois qu’un certificat a expiré, il n’est plus considéré comme valide et doit être remplacé avant que la confiance puisse être rétablie.

Des durées de vie plus courtes contribuent donc à limiter la durée pendant laquelle un problème non détecté peut persister. La révocation permet de remédier aux compromissions connues, tandis que l’expiration met définitivement fin à la validité d’un certificat lorsque les problèmes sont retardés ou non détectés.

Des validations plus fréquentes maintiennent la confiance dans les certificats à jour

Le CA/Browser Forum a défini des périodes de réutilisation de la validation du contrôle de domaine (DCV) afin de déterminer pendant combien de temps une validation antérieure reste acceptée avant que de nouveaux contrôles ne doivent être effectués. L’objectif principal est d’éviter que la validation ne soit perçue ou traitée comme permanente.

Avec la mise en place de limites pour la DCV, la validation devient un processus continu ; lorsque les périodes de réutilisation sont plus courtes, les organisations doivent vérifier le contrôle du domaine plus fréquemment. En conséquence, le risque de validation obsolète est réduit lorsque les domaines changent de propriétaire ou, surtout, lorsque l’accès est compromis.

On a beaucoup parlé du raccourcissement des durées de validité des certificats, mais la réduction des périodes de DCV mérite tout autant d’être soulignée. Conformément aux exigences du CA/Browser Forum, celles-ci seront ramenées à seulement 10 jours d’ici 2029, parallèlement à la réduction de la durée de validité maximale des certificats SSL/TLS publics à 47 jours.

Des cycles de vie plus courts améliorent l’agilité cryptographique

Le Mois de la sensibilisation à la cybersécurité ne se concentre pas exclusivement sur la détection ou la résolution des problèmes de sécurité actuels. Il met plutôt clairement l’accent sur les menaces à venir et sur les stratégies de sécurité adaptatives nécessaires pour faire face à l’évolution de ces menaces. C’est là qu’intervient le concept d’agilité cryptographique.

L’agilité cryptographique permet aux organisations de passer d’un algorithme cryptographique à un autre sans perturber de manière significative leurs opérations ni leur sécurité globale. La réduction de la durée de vie des certificats favorise cette agilité en limitant la durée d’utilisation des anciennes configurations cryptographiques et en intégrant le remplacement plus fréquent des certificats dans les opérations courantes. La pression opérationnelle engendrée par ces durées de vie plus courtes incite également les organisations à mettre en place l’automatisation et les processus nécessaires pour rendre les futures transitions cryptographiques plus rapides et plus faciles à gérer.

Présentée comme un avantage majeur par le CA/Browser Forum lors de l’introduction du scrutin SC081v3, la « crypto-agilité » revêt une importance considérable à l’aube de l’ère post-quantique. La transition vers la cryptographie post-quantique (PQC) exigera des organisations qu’elles remplacent les algorithmes vulnérables à l’attaque quantique dans l’ensemble de leurs environnements. Les organisations qui ont déjà adopté des solutions automatisées seront bien placées pour mener à bien cette transition.

Pourquoi la durée de validité des certificats SSL/TLS est-elle de plus en plus courte ?

La réduction de la durée de vie des certificats constitue une avancée moderne en matière de cybersécurité, motivée par des préoccupations de sécurité liées aux certificats compromis, mais également par la prise de conscience des défis à venir : l’ère post-quantique et le besoin d’agilité cryptographique.

Auparavant, les certificats SSL/TLS restaient valides pendant 398 jours, ce qui nécessitait des renouvellements annuels. Apple a proposé des modifications qui ont finalement été approuvées par le CA/Browser Forum via le scrutin SC-081v3.

Alors que la durée de validité officielle a été fixée à 47 jours maximum, le CA/Browser Forum a également établi un calendrier pour accompagner cette transition, prévoyant des réductions progressives de la durée de validité des certificats. Nous en sommes déjà à des durées de validité de 200 jours (à compter du 15 mars 2026), mais un autre changement majeur se profile : à compter du 15 mars 2027, la durée de vie des certificats ne sera plus que de 100 jours. La limite finale de 47 jours sera atteinte en mars 2029.

Des durées de validité plus courtes augmentent également le risque de pannes liées aux certificats

Si ces durées de validité plus courtes peuvent être une nécessité en matière de sécurité, elles peuvent toutefois, en cas de mauvaise gestion, engendrer elles-mêmes des risques de sécurité considérables. Lorsque les certificats ne sont valables que 47 jours, ils doivent être renouvelés presque tous les mois. Si les renouvellements ne sont pas effectués, les connexions sécurisées peuvent échouer.

Les certificats expirés peuvent déclencher des avertissements dans les navigateurs, rendant les sites web et les services inaccessibles aux utilisateurs. Cela perturbe l’expérience des clients, mais pose également un problème en termes de réputation : les temps d’indisponibilité sont frustrants et, aux yeux des consommateurs, sont le signe de failles de sécurité plus générales.

L’automatisation du cycle de vie des certificats facilite la gestion des durées de validité plus courtes

La gestion automatisée du cycle de vie des certificats réduit la charge opérationnelle, mais ses avantages ne se limitent en aucun cas à l’efficacité ou à la commodité. De plus en plus, l’automatisation des certificats est un élément essentiel de la sécurité, nécessaire pour limiter les failles et les vulnérabilités à mesure que la durée de vie des certificats diminue. Elle aide les organisations à gérer ces changements de manière fiable et à grande échelle.

Les fonctionnalités d’automatisation atténuent les défis liés à l’augmentation du volume de certificats (et à leur renouvellement fréquent) à toutes les étapes du cycle de vie des certificats :

• Détection et inventaire. Les solutions automatisées améliorent la visibilité en localisant tous les certificats dans l’ensemble des environnements. Les services de détection utilisent un balayage complet pour localiser et répertorier tous les certificats et, avec une plateforme CLM adaptée, ceux-ci peuvent être consultés et gérés via des tableaux de bord centralisés.
• Surveillance des expirations. La découverte améliore la visibilité, mais celle-ci doit être maintenue grâce à une surveillance constante. Sans surveillance suffisante, les certificats peuvent expirer sans que personne ne s’en aperçoive. Une surveillance constante garantit que les renouvellements sont effectués dans les délais.
• Renouvellements automatisés. L’automatisation CLM permet de réduire le travail manuel lié au renouvellement des certificats. Le protocole ACME facilite la délivrance et le renouvellement des certificats, tandis que des outils compatibles peuvent également automatiser leur installation et leur déploiement.

Comment les entreprises se préparent-elles à ce changement ?

Le Mois de la sensibilisation à la cybersécurité offre une bonne occasion d’examiner des stratégies de sécurité proactives. Adoptez des solutions automatisées et préparez-vous aux grands changements à venir : des durées de vie des certificats et des périodes de réutilisation des DCV plus courtes, suivies, à terme, par la transition post-quantique.

Commencez par dresser l’inventaire des certificats numériques et identifiez les certificats SSL/TLS de confiance publique qui dépendent encore d’un renouvellement ou d’un déploiement manuel. Ensuite, donnez la priorité aux systèmes critiques pour l’activité et testez les workflows de renouvellement automatisés avant la réduction progressive de 100 jours prévue en 2027. Les organisations disposant de programmes plus matures peuvent également utiliser le modèle de maturité CLM pour identifier les prochaines étapes visant à étendre l’automatisation, la visibilité et le contrôle centralisé.

L’exigence des 47 jours s’applique uniquement aux certificats SSL/TLS de confiance publique, mais les certificats privés peuvent tout de même bénéficier d’une gestion centralisée et, le cas échéant, de périodes de validité plus courtes. Adopter dès maintenant une vision plus globale de l’environnement des certificats peut contribuer à réduire les échecs de renouvellement, les interruptions de service liées aux certificats et d’autres failles évitables, à mesure que le volume de certificats et la fréquence des renouvellements augmentent.

Consultez le guide SSL/TLS « 47 jours » de Sectigo pour obtenir des informations utiles, notamment des étapes pratiques pour mener à bien cette transition.

Intégrez la gestion automatisée des certificats (CLM) à votre stratégie de cybersécurité

Le Mois de la sensibilisation à la cybersécurité nous rappelle qu’il est important d’adopter une vision plus globale des pratiques en matière de cybersécurité. Faites le point sur vos processus manuels et identifiez les domaines où des solutions automatisées pourraient être mises en œuvre afin de limiter les risques évitables. Ces améliorations présenteront l’avantage supplémentaire de résoudre les contraintes opérationnelles, d’autant plus que la transition vers des cycles de vie de 47 jours se poursuit.

Sectigo propose deux plateformes CLM conçues pour surmonter les limites de la gestion manuelle des certificats. Sectigo Certificate Manager (SCM) prend en charge les environnements d’entreprise complexes qui nécessitent une automatisation du cycle de vie des certificats indépendante de l’autorité de certification (CA), une visibilité centralisée, l’application des politiques et un contrôle à grande échelle.

Les petites entreprises et les administrateurs web tirent profit de SCM Pro, qui simplifie la gestion des certificats tout en tirant parti de l’automatisation via le protocole ACME. Découvrez dès aujourd’hui les solutions Sectigo et franchissez une nouvelle étape vers la mise en place d’une base plus solide pour la confiance numérique.