Vous naviguez sur un site et vous apercevez le petit cadenas dans la barre d’adresse. Votre connexion est sécurisée, certes. Mais derrière ce symbole rassurant se cache une question que peu d’utilisateurs se posent : quelle autorité de certification a émis le certificat SSL de ce site ? Cette information n’est pas anodine. Elle renseigne sur le niveau de confiance accordé au site, sur les vérifications effectuées avant l’émission du certificat, et parfois même sur la solidité de l’infrastructure de sécurité d’une entreprise. Que vous soyez développeur, administrateur système ou simplement curieux, savoir lire et interpréter les informations d’un certificat SSL est une compétence concrète. Ce guide vous donne toutes les méthodes pour y parvenir.
Ce que garantit réellement un certificat SSL
Le SSL (Secure Sockets Layer), désormais remplacé techniquement par le protocole TLS (Transport Layer Security), établit une connexion chiffrée entre un serveur web et le navigateur d’un visiteur. Malgré ce remplacement, le terme « SSL » reste largement utilisé dans le langage courant. Un certificat SSL remplit deux fonctions distinctes : il chiffre les données échangées et il authentifie l’identité du propriétaire du site.
Le chiffrement protège les informations en transit — mots de passe, coordonnées bancaires, messages privés — contre l’interception. L’authentification, elle, est plus subtile. Elle garantit que vous communiquez bien avec le serveur légitime du site visité, et non avec un imposteur. C’est cette deuxième fonction qui implique directement les autorités de certification.
Depuis 2014, l’adoption des certificats SSL a explosé sur le web. Google a intégré le HTTPS comme signal de classement dans son algorithme, ce qui a poussé des millions de sites à sécuriser leurs connexions. Aujourd’hui, la grande majorité du trafic web mondial transite via des connexions chiffrées. Cette généralisation a aussi démocratisé l’accès aux certificats, avec l’émergence de solutions gratuites comme Let’s Encrypt.
Un certificat SSL contient plusieurs informations structurées : le nom de domaine couvert, la période de validité, la clé publique du serveur, et surtout la signature numérique de l’autorité qui l’a émis. C’est cette signature qui permet aux navigateurs de vérifier automatiquement la légitimité du certificat à chaque connexion.
Le rôle des autorités de certification dans la chaîne de confiance
Une autorité de certification (CA pour Certificate Authority) est une entité dont la mission est d’émettre des certificats numériques après vérification de l’identité du demandeur. Les navigateurs web maintiennent une liste de CA considérées comme dignes de confiance, appelée le magasin de certificats racines. Si une CA figure dans cette liste, tous les certificats qu’elle émet sont automatiquement reconnus comme valides.
La confiance fonctionne en cascade. Une CA racine peut déléguer son autorité à des CA intermédiaires, qui émettent à leur tour des certificats pour les utilisateurs finaux. Cette hiérarchie, appelée chaîne de certification, permet de vérifier l’authenticité d’un certificat en remontant jusqu’à la CA racine. Si un maillon de cette chaîne est compromis ou révoqué, tous les certificats en dessous perdent leur validité.
Les CA ne se contentent pas de signer des certificats. Elles définissent les procédures de vérification selon le type de certificat demandé. Un certificat DV (Domain Validation) nécessite simplement de prouver que vous contrôlez le domaine. Un certificat OV (Organization Validation) exige la vérification de l’existence légale de l’organisation. Un certificat EV (Extended Validation) impose un audit approfondi de l’entreprise, avec vérification physique et juridique.
Ces différences de validation expliquent les écarts de prix considérables entre les types de certificats. Elles expliquent aussi pourquoi l’identité de la CA émettrice renseigne directement sur le niveau de vérification subi par le propriétaire du site.
Comment savoir quelle autorité de certification a émis le certificat SSL d’un site
Identifier la CA d’un certificat SSL ne demande aucun outil spécialisé. Les navigateurs modernes exposent ces informations directement, en quelques clics.
Sur Google Chrome, cliquez sur le cadenas dans la barre d’adresse, puis sur « La connexion est sécurisée », puis sur « Le certificat est valide ». Une fenêtre affiche les détails du certificat. L’onglet « Général » indique qui a émis le certificat dans le champ « Émis par ». L’onglet « Chemin d’accès de certification » montre la chaîne complète, de la CA racine jusqu’au certificat du site.
Sur Firefox, le processus est similaire : cliquez sur le cadenas, puis sur « Plus d’informations », puis sur « Afficher le certificat ». Firefox ouvre un panneau latéral avec toutes les informations structurées, dont le champ « Émetteur » qui identifie directement la CA.
Pour les administrateurs système, la commande OpenSSL est plus précise. Dans un terminal, la commande suivante extrait les informations complètes d’un certificat :
openssl s_client -connect nomdusite.com:443 -showcerts renvoie la chaîne de certificats complète. La ligne commençant par « issuer= » identifie la CA. Vous y verrez des informations comme le nom de l’organisation (O=), le pays (C=) et le nom commun (CN=) de l’émetteur.
Des outils en ligne comme SSL Labs de Qualys (ssllabs.com/ssltest) offrent une analyse encore plus détaillée. Ils identifient la CA, évaluent la configuration SSL du serveur et signalent les éventuelles vulnérabilités. C’est la référence pour un audit rapide et gratuit.
Comparatif des principales autorités de certification
Le marché des CA est dominé par quelques acteurs majeurs, chacun avec son positionnement, ses tarifs et ses spécificités techniques. Voici un aperçu comparatif des solutions les plus répandues :
| Autorité de certification | Types de certificats | Prix indicatif | Particularité |
|---|---|---|---|
| Let’s Encrypt | DV uniquement | Gratuit | Automatisé via ACME, renouvellement tous les 90 jours |
| DigiCert | DV, OV, EV, Wildcard | De 200 $ à 2 000 $/an | Leader entreprise, support 24/7, validité jusqu’à 2 ans |
| Comodo (Sectigo) | DV, OV, EV, Wildcard, Multi-domaine | De 8 $ à 900 $/an | Volume important, tarifs compétitifs, large gamme |
| GlobalSign | DV, OV, EV, Wildcard | De 150 $ à 1 500 $/an | Fort en PKI d’entreprise, présence internationale |
| Sectigo | DV, OV, EV, Wildcard | De 10 $ à 800 $/an | Anciennement Comodo CA, très répandu chez les hébergeurs |
Let’s Encrypt a profondément transformé le marché depuis son lancement en 2015. En proposant des certificats DV entièrement gratuits et automatisés, cette CA à but non lucratif soutenue par l’Internet Security Research Group (ISRG) couvre aujourd’hui des centaines de millions de sites web. Sa limite : elle ne propose pas de certificats OV ou EV, ce qui la rend inadaptée aux sites e-commerce ou aux institutions financières qui souhaitent afficher un niveau de vérification supérieur.
DigiCert s’est imposé comme la référence pour les grandes entreprises après le rachat de la division SSL de Symantec en 2017. Ses tarifs élevés reflètent un service premium : validation rapide, support dédié et compatibilité maximale avec tous les environnements. Comodo, rebaptisé Sectigo, reste l’acteur le plus présent chez les hébergeurs mutualisés grâce à ses prix accessibles et sa large gamme de produits.
Ce que révèle l’identité de la CA sur la sécurité d’un site
L’identité de la CA émettrice n’est pas qu’une information technique. Elle dit quelque chose de concret sur les pratiques de sécurité d’un site. Un certificat EV émis par DigiCert ou GlobalSign signifie que l’entreprise a soumis ses documents juridiques à une vérification externe, que son existence légale a été confirmée et que ses représentants ont été contactés. C’est un niveau de vérification que les certificats DV de Let’s Encrypt ne fournissent pas.
Pour un site de commerce en ligne ou une banque, la présence d’un certificat EV d’une CA reconnue est un signal fort. À l’inverse, un site de phishing peut parfaitement obtenir un certificat DV gratuit de Let’s Encrypt — ce qui explique pourquoi le cadenas seul ne suffit plus à garantir la légitimité d’un site. Le cadenas confirme le chiffrement, pas l’honnêteté du propriétaire.
Les administrateurs système doivent surveiller les journaux de Certificate Transparency (CT). Depuis 2018, toutes les CA sont tenues de publier chaque certificat émis dans des journaux publics. Des outils comme crt.sh permettent de consulter tous les certificats émis pour un domaine donné. Cette transparence permet de détecter des certificats frauduleux émis sans votre consentement pour votre domaine.
La durée de validité d’un certificat est aussi un indicateur. Depuis septembre 2020, la durée maximale des certificats SSL est limitée à 398 jours par les principaux navigateurs. Un certificat avec une validité anormalement longue a probablement été émis avant cette date, ce qui peut signaler une infrastructure vieillissante ou mal maintenue.
Vérifier régulièrement quel émetteur a signé votre propre certificat et ceux de vos partenaires commerciaux est une pratique de sécurité concrète. Un changement de CA non planifié peut indiquer une compromission ou une migration non documentée. Les outils de monitoring comme Datadog ou des solutions spécialisées comme Cert Spotter automatisent cette surveillance et alertent en cas d’anomalie.