14 juillet 2025
Introduction
Un certificat numérique n’est pas digne de confiance parce qu’il affiche un nom connu ou un cadenas. Avant de l’accepter pour vérifier une signature, authentifier un service ou chiffrer un échange, il faut établir qui l’a émis, à quel titulaire il est rattaché, pour quel usage et dans quel état.
La vérification porte sur le fichier exact reçu et sur une date précise. Elle produit un constat technique que l’équipe interprète ensuite selon sa politique de confiance et le contexte métier.
Conserver le certificat et son contexte
Enregistrez le certificat reçu sans le modifier. Notez sa provenance, sa date de réception, l’usage annoncé et le dossier auquel il se rattache. Si la procédure le prévoit, calculez son empreinte afin d’identifier sans ambiguïté l’objet vérifié.
Le canal de réception ne prouve pas l’authenticité du certificat, mais il aide à comprendre le contexte. Comparez aussi l’usage annoncé — signature d’un contrat, authentification d’un serveur, chiffrement — avec les extensions et usages inscrits dans le certificat.
Construire la chaîne de certification
Un certificat final est généralement relié à un ou plusieurs certificats intermédiaires puis à une racine. L’outil de validation doit pouvoir construire cette chaîne et vérifier les signatures cryptographiques entre ses maillons.
Une chaîne techniquement construite n’est pas automatiquement approuvée. La racine doit appartenir au magasin ou à la liste de confiance retenue pour le scénario. Documentez l’environnement de contrôle : système, application, magasin et date.
En cas de chaîne incomplète, recherchez les certificats intermédiaires auprès d’une source approuvée plutôt que d’accepter un fichier transmis sans vérification. Si la chaîne reste interrompue, classez le résultat comme non résolu et demandez une clarification.
Vérifier la période, l’usage et la révocation
Contrôlez les dates de début et de fin, mais interprétez-les au moment pertinent. Pour une signature ancienne, l’expiration actuelle du certificat ne suffit pas à conclure qu’il était invalide lors de la création ; il faut examiner les données temporelles et de statut disponibles.
Vérifiez les usages de clé et les extensions. Un certificat prévu pour un service ne doit pas être présumé adapté à une signature de personne, et inversement.
Consultez les informations de révocation selon la méthode prévue — par exemple OCSP ou liste de révocation — et conservez la source, la date et le résultat. Un statut indisponible n’est pas identique à un statut révoqué ; la politique doit indiquer comment traiter l’incertitude.
Confirmer le titulaire et l’émetteur
Examinez le sujet, les identifiants, l’organisation et l’émetteur. Rapprochez le titulaire de la personne ou du service attendu, sans vous fier au seul nom affiché. Des homonymes existent et certains champs peuvent contenir un pseudonyme ou une dénomination juridique.
Pour un signataire agissant au nom d’une société, le certificat peut contribuer à établir son identité, mais ne prouve pas nécessairement son pouvoir de représentation. Ce pouvoir doit être vérifié séparément lorsque le document l’exige.
Confirmez enfin que l’autorité émettrice et le type de certificat correspondent au niveau ou au service revendiqué. Un logo ou une mention « sécurisé » ne remplace pas cette analyse.
Enregistrer un résultat précis
Le rapport doit séparer :
- construction de la chaîne ;
- source de confiance ;
- période de validité ;
- usage autorisé ;
- statut de révocation ;
- titulaire attendu et observé ;
- décision et motif.
Les décisions possibles ne se limitent pas à « accepté » et « refusé ». Un résultat peut nécessiter une enquête, par exemple lorsque le statut n’est pas disponible ou que la chaîne n’est pas reconnue dans l’environnement défini.
Nota Sign peut utiliser des certificats dans des parcours AES ou QES selon la configuration et les prestataires disponibles. Cette capacité n’autorise pas à faire confiance à n’importe quel certificat : la chaîne, le statut, l’usage et le contexte doivent toujours être vérifiés.
Archiver la vérification
Conservez le certificat, son empreinte éventuelle, l’outil, la configuration, les sources consultées, les résultats et la décision. Ajoutez le nom du réviseur et la date.
Si le certificat doit être réutilisé plus tard, prévoyez une nouvelle vérification de statut. Une décision prise aujourd’hui ne garantit pas que le certificat restera valable ou non révoqué demain.
Conclusion
Faire confiance à un certificat est une décision documentée. La chaîne, le statut, l’usage et le titulaire doivent converger dans le contexte précis où le certificat sera employé.
