Vous visitez un site web et remarquez le petit cadenas dans la barre d'adresse. Mais savez-vous réellement quelle autorité de certification a émis le certificat SSL de ce site, et pourquoi cette information compte ? Derrière chaque connexion sécurisée se cache une chaîne de confiance pilotée par des organisations spécialisées appelées autorités de certification (ou CA, pour Certificate Authority). Ces entités sont les garants invisibles de la sécurité de vos échanges en ligne. Aujourd'hui, plus de 80 % des sites web utilisent HTTPS, ce qui signifie que des milliards de certificats circulent sur internet. Comprendre qui les émet, comment les vérifier et quelles différences existent entre les acteurs du marché vous permettra de faire des choix éclairés pour votre propre site ou pour évaluer la fiabilité d'un service en ligne.
Pourquoi la sécurisation des échanges en ligne repose sur des certificats
Le protocole SSL (Secure Sockets Layer), aujourd'hui remplacé dans sa forme technique par TLS (Transport Layer Security), établit un lien chiffré entre un serveur web et le navigateur d'un visiteur. Ce chiffrement empêche toute interception des données transmises : mots de passe, numéros de carte bancaire, informations personnelles. Sans ce mécanisme, n'importe qui disposant des bons outils pourrait lire le trafic réseau en clair.
L'adoption massive du HTTPS a été accélérée par plusieurs facteurs. Google a annoncé en 2014 que le HTTPS devenait un critère de classement dans ses résultats de recherche. Puis, en 2020, la pandémie a provoqué une explosion des transactions en ligne, rendant la sécurisation des sites encore plus urgente. Les navigateurs modernes comme Chrome ou Firefox affichent désormais des avertissements explicites sur les sites non sécurisés, ce qui dissuade les visiteurs de poursuivre leur navigation.
Un certificat SSL ne se contente pas de chiffrer les données. Il atteste également de l'identité du propriétaire du site. C'est précisément là qu'intervient l'autorité de certification : elle vérifie que le demandeur du certificat est bien celui qu'il prétend être, puis signe numériquement le certificat pour que les navigateurs puissent lui faire confiance. Sans cette validation par un tiers reconnu, aucun navigateur n'accepterait le certificat.
Les enjeux dépassent la simple technique. Un site e-commerce sans certificat valide perd instantanément la confiance de ses clients. Un blog personnel sans HTTPS pénalise son référencement. Et une entreprise dont le certificat est émis par une autorité peu fiable s'expose à des alertes de sécurité qui font fuir les utilisateurs. Choisir la bonne autorité de certification, et savoir identifier celle qui sécurise un site, relève donc d'une compétence concrète et utile.
Comment identifier quelle autorité de certification a émis le certificat SSL d'un site
La vérification est accessible à tout utilisateur, sans outil technique particulier. Dans Google Chrome, cliquez sur le cadenas situé à gauche de l'URL dans la barre d'adresse. Un menu apparaît : sélectionnez « La connexion est sécurisée », puis « Le certificat est valide ». Une fenêtre s'ouvre avec les détails complets du certificat, notamment le champ « Émis par » qui indique l'autorité de certification.
Sur Firefox, la procédure est légèrement différente : cliquez sur le cadenas, puis sur « Plus d'informations », et enfin sur « Afficher le certificat ». Un onglet dédié s'ouvre avec la hiérarchie complète de la chaîne de certification. Vous y verrez l'autorité racine, les autorités intermédiaires éventuelles, et le certificat du site lui-même.
Des outils en ligne permettent d'aller plus loin. SSL Labs (de la société Qualys) propose une analyse gratuite et détaillée de n'importe quel domaine : il suffit d'entrer l'URL et d'attendre quelques secondes. Le rapport indique l'autorité émettrice, la date d'expiration, le niveau de chiffrement et une note globale de A à F. C'est un outil de référence utilisé par les professionnels du web.
En ligne de commande, les utilisateurs plus techniques peuvent utiliser OpenSSL avec la commande openssl s_client -connect nomdusite.com:443. La réponse affiche le certificat complet et sa chaîne de validation. Cette méthode est particulièrement utile pour auditer des serveurs internes ou des environnements de développement non accessibles depuis un navigateur standard.
Quelle que soit la méthode choisie, les informations à retenir sont les mêmes : le nom de l'autorité émettrice, la date d'expiration du certificat, et le type de validation utilisé (DV, OV ou EV). Ces trois données suffisent à évaluer rapidement le niveau de confiance accordé à un site.
Les grandes autorités de certification qui dominent le marché
Let's Encrypt est aujourd'hui l'autorité de certification la plus utilisée au monde. Lancée en 2016 par l'Internet Security Research Group (ISRG), elle délivre des certificats entièrement gratuits et automatisés. Son objectif initial était simple : rendre le HTTPS universel. Pari tenu : des millions de sites web, des blogs aux petites entreprises, utilisent ses certificats. La contrepartie est que Let's Encrypt ne propose que des certificats à validation de domaine (DV), sans vérification d'identité approfondie.
DigiCert se positionne à l'opposé du spectre. C'est l'un des acteurs les plus anciens et les plus respectés du secteur, particulièrement présent chez les grandes entreprises et les institutions financières. DigiCert propose des certificats OV et EV, avec des processus de validation rigoureux. Après le rachat de l'activité SSL de Symantec en 2017, DigiCert a considérablement renforcé sa part de marché.
Comodo, rebaptisé Sectigo depuis 2018, est l'un des fournisseurs les plus prolifiques en volume de certificats émis. Il cible principalement les PME et les revendeurs, avec des tarifs compétitifs sur l'ensemble de la gamme DV, OV et EV. GlobalSign, filiale du groupe japonais GMO, est quant à elle très présente en Europe et en Asie, avec une offre orientée vers les entreprises ayant des besoins d'automatisation à grande échelle.
Ces acteurs sont tous reconnus par les navigateurs majeurs parce qu'ils figurent dans les programmes de confiance racine gérés par Apple, Microsoft, Mozilla et Google. Une autorité de certification non incluse dans ces programmes verrait ses certificats rejetés par la quasi-totalité des navigateurs, ce qui la rendrait inutilisable en pratique.
Comprendre les différences entre les types de certificats disponibles
Tous les certificats SSL ne se valent pas. Trois niveaux de validation existent, chacun correspondant à un niveau de vérification différent et à des usages distincts. Le tableau ci-dessous résume les principales caractéristiques.
| Type de certificat | Niveau de validation | Délai d'émission | Prix indicatif / an | Usage typique |
|---|---|---|---|---|
| DV (Domain Validation) | Vérification du domaine uniquement | Quelques minutes | Gratuit à 50 € | Blogs, sites vitrines, petits projets |
| OV (Organization Validation) | Vérification du domaine + de l'organisation | 1 à 3 jours | 50 € à 200 € | Sites d'entreprises, portails professionnels |
| EV (Extended Validation) | Vérification approfondie de l'entité légale | 3 à 7 jours | 150 € à 500 € | Banques, e-commerce, sites institutionnels |
Le certificat DV garantit uniquement que le demandeur contrôle le domaine. Aucune vérification de l'identité réelle de l'organisation n'est effectuée. C'est rapide, gratuit avec Let's Encrypt, et parfaitement adapté à un site personnel ou un blog. Le certificat OV ajoute une couche : l'autorité de certification vérifie que l'organisation existe légalement, en consultant des registres officiels. Les visiteurs peuvent consulter ces informations dans les détails du certificat.
Le certificat EV représente le niveau de confiance le plus élevé. La procédure de vérification est longue et exigeante : documents juridiques, vérification de l'adresse physique, contrôle des responsables légaux. Pendant longtemps, les navigateurs affichaient le nom de l'entreprise en vert dans la barre d'adresse pour signaler un certificat EV. Cette fonctionnalité a été supprimée par Chrome et Firefox en 2019, mais les informations restent accessibles dans les détails du certificat. Les banques en ligne et les plateformes de paiement continuent de privilégier ce type de certificat.
Choisir et renouveler son certificat sans se tromper
La décision dépend avant tout de la nature du site et des attentes des visiteurs. Un site vitrine pour une petite entreprise artisanale n'a pas besoin d'un certificat EV à 400 euros par an. Un certificat DV gratuit via Let's Encrypt, renouvelé automatiquement tous les 90 jours, suffit amplement. La plupart des hébergeurs web intègrent désormais cette option directement dans leur panneau de contrôle.
Pour un site e-commerce qui traite des paiements en ligne, le certificat OV apporte une crédibilité supplémentaire. Les clients potentiels peuvent vérifier que l'entreprise derrière le site existe réellement. Ce niveau de transparence réduit les abandons de panier liés aux doutes sur la légitimité du vendeur. Le coût, de l'ordre de 50 à 200 euros annuels, reste raisonnable pour une activité commerciale.
Le renouvellement est souvent négligé. Un certificat expiré provoque immédiatement une alerte de sécurité dans tous les navigateurs, rendant le site pratiquement inaccessible pour les visiteurs non avertis. Mettre en place un système de renouvellement automatique, ou configurer des alertes par email plusieurs semaines avant l'expiration, évite cette situation embarrassante. Avec Certbot (l'outil officiel de Let's Encrypt), l'automatisation du renouvellement se configure en quelques commandes sur un serveur Linux.
Vérifier régulièrement les certificats des sites avec lesquels vous échangez des données sensibles est une habitude saine. Quelques secondes suffisent pour identifier l'autorité émettrice, contrôler la date d'expiration et s'assurer que le niveau de validation correspond aux attentes. Cette vigilance, à la portée de n'importe quel utilisateur, constitue un premier rempart contre les tentatives de phishing qui utilisent parfois de faux certificats émis par des autorités peu connues ou compromises.
