Qu'est-ce qu'un certificat SSL ?

Une fois le certificat SSL délivré, vous devez l'installer sur votre serveur. Vous devez également installer un certificat intermédiaire qui rattache votre certificat SSL au certificat racine de votre AC afin d'établir son authenticité. La façon d'installer et de tester votre certificat variera en fonction de votre serveur.

Le schéma ci-dessous illustre la chaîne de certificats. Cette chaîne rattache votre certificat serveur au certificat racine de l'AC (ici DigiCert) par le biais d'un certificat intermédiaire.

Surtout, votre certificat SSL doit être signé numériquement par une AC de confiance comme DigiCert. Si n'importe qui peut créer un certificat, les navigateurs ne reconnaissent que les certificats de confiance—émis par une organisation figurant sur la liste des AC de confiance. Ils contiennent une liste préinstallée de ces Autorités de certification, appelée magasin de certificats racines de confiance. Pour figurer sur cette liste et ainsi devenir une AC de confiance, une entreprise doit respecter les normes de sécurité et d'authentification des navigateurs et prouver sa conformité par un audit.

Un certificat SSL émis par une AC pour une organisation et son domaine/site web confirme qu'un tiers de confiance a authentifié cette organisation. Puisque le navigateur reconnaît cette AC, il reconnaît également l'identité de l'organisation concernée. Il informe donc les internautes que le site web est sécurisé, ce qui leur permet de visiter le site voire de saisir des données confidentielles en toute sérénité.

Qu'est-ce que SSL (Secure Sockets Layer)?

Le SSL (Secure Sockets Layer) désigne une technologie de sécurité standard qui établit une connexion chiffrée entre un serveur et un client—généralement entre un serveur web (site web) et un navigateur, ou un serveur et un client de messagerie (par ex., Outlook). Ce terme est plus répandu que « TLS » (Transport Layer Security), son successeur.

Connexion sécurisée par SSL: principe de fonctionnement

Lorsqu'un navigateur tente d'accéder à un site web sécurisé par SSL, ce navigateur et le serveur web concerné établissent une connexion SSL à l'aide d'un processus baptisé « négociation SSL » (SSL handshake), illustré par le schéma ci-dessous. Cette négociation SSL est instantanée et invisible pour l'utilisateur.

Pour établir une connexion SSL, trois clés sont nécessaires: l'une publique, l'autre privée, ainsi qu'une clé de session. Toutes les données chiffrées à l'aide de la clé publique ne peuvent être déchiffrées qu'avec la clé privée, et inversement. Parce que le chiffrement et le déchiffrement mobilisent une puissance de calcul non négligeable, les clés publique et privée ne sont utilisées que lors de la négociation SSL, pour créer une clé de session symétrique. Une fois la connexion sécurisée établie, la clé de session sert à chiffrer toutes les données transmises.

1. Le navigateur se connecte à un serveur web (site web) sécurisé par SSL (HTTPS). Il demande au serveur de s'identifier.
2. Le serveur transmet une copie de son certificat SSL, y compris sa clé publique.
3. Le navigateur vérifie que la racine du certificat figure bien dans sa liste d'AC de confiance et que le certificat n'a ni expiré ni été révoqué. Il s'assure que son nom commun correspond au site web auquel il se connecte. Si le navigateur reconnaît le certificat, il crée, chiffre et renvoie une clé de session symétrique à l'aide de la clé publique du serveur.
4. Le serveur déchiffre la clé de session symétrique à l'aide de sa clé privée et renvoie un accusé de réception chiffré avec cette clé de session pour démarrer la session chiffrée.
5. Par la suite, le serveur et le navigateur chiffrent toutes les données transmises avec la clé de session.