Vous visitez un site web et vous remarquez le petit cadenas dans la barre d’adresse de votre navigateur. Mais savez-vous vraiment qui se cache derrière ce symbole de sécurité ? Savoir quelle autorité de certification a émis le certificat SSL d’un site n’est pas un détail technique réservé aux administrateurs système. C’est une information concrète qui vous permet de juger la fiabilité d’une connexion, de détecter une tentative de phishing ou de vérifier l’intégrité d’un service en ligne. Que vous soyez développeur, webmaster ou simple utilisateur averti, identifier l’émetteur d’un certificat prend moins de deux minutes avec les bonnes méthodes. Voici trois approches pratiques pour y parvenir.
Comprendre le rôle des autorités de certification dans la sécurité web
Une autorité de certification (AC) est une entité tierce de confiance chargée d’émettre des certificats numériques. Son rôle est simple : garantir qu’un site web est bien ce qu’il prétend être. Quand votre navigateur se connecte à un serveur, il vérifie que le certificat SSL présenté a bien été signé par une AC reconnue. Si ce n’est pas le cas, une alerte de sécurité s’affiche immédiatement.
Le fonctionnement repose sur une chaîne de confiance. Au sommet, on trouve les autorités racines, dont les certificats sont intégrés directement dans les navigateurs et les systèmes d’exploitation. En dessous, des autorités intermédiaires émettent les certificats pour les sites web. Cette hiérarchie permet de distribuer la charge tout en maintenant un niveau de contrôle strict sur chaque certificat émis.
Depuis 2014, l’adoption du protocole HTTPS a explosé, notamment sous la pression de Google qui pénalise les sites non sécurisés dans ses résultats de recherche. Cette démocratisation a multiplié le nombre d’acteurs sur le marché des certificats. Aujourd’hui, une poignée d’autorités dominent le secteur : Let’s Encrypt, qui a rendu les certificats gratuits et accessibles à tous, DigiCert, Comodo (devenu Sectigo), GlobalSign et l’ancienne Symantec, dont les activités ont été rachetées par DigiCert en 2017.
Chaque AC applique des procédures de vérification différentes selon le type de certificat. Un certificat DV (Domain Validation) se contente de vérifier que le demandeur contrôle le domaine. Un certificat OV (Organization Validation) vérifie également l’identité juridique de l’organisation. Le niveau le plus élevé, le certificat EV (Extended Validation), impose une vérification approfondie de l’entreprise. Connaître l’AC émettrice vous renseigne donc indirectement sur le niveau de rigueur appliqué lors de la délivrance du certificat.
Trois méthodes pour identifier quelle autorité de certification a émis le certificat SSL
Identifier l’émetteur d’un certificat SSL ne nécessite aucun outil spécialisé. Les navigateurs modernes exposent toutes ces informations directement dans leur interface. Voici les trois méthodes les plus efficaces, classées par facilité d’accès.
Méthode 1 : via le navigateur web
C’est la méthode la plus rapide. Depuis Google Chrome ou Mozilla Firefox, cliquez sur le cadenas dans la barre d’adresse, puis sur « La connexion est sécurisée » et enfin sur « Le certificat est valide ». Une fenêtre s’ouvre avec les détails complets du certificat, dont le champ « Émis par » qui indique précisément l’autorité de certification responsable. Sur Safari, le chemin est similaire : cliquez sur le cadenas, puis sur « Afficher le certificat ».
- Cliquez sur le cadenas à gauche de l’URL dans la barre d’adresse
- Sélectionnez « La connexion est sécurisée » puis « Le certificat est valide »
- Dans l’onglet « Général », repérez le champ « Émis par »
- Consultez l’onglet « Détails » pour accéder à la chaîne de certification complète
- Vérifiez la date d’expiration et la portée du certificat dans le même panneau
Méthode 2 : via les outils en ligne
Plusieurs services web permettent d’analyser un certificat SSL sans même visiter le site concerné. SSL Labs de Qualys (ssllabs.com/ssltest) est la référence du secteur : il génère un rapport complet sur la configuration SSL d’un domaine, incluant l’identité de l’AC, la chaîne de confiance et la note de sécurité globale. WhyNoPadlock et SSL Checker proposent des analyses plus légères mais tout aussi lisibles pour un usage ponctuel.
Ces outils sont particulièrement utiles quand vous souhaitez auditer un site tiers sans y accéder directement, ou vérifier la configuration d’un serveur depuis un environnement différent du vôtre. Certains permettent aussi de comparer plusieurs domaines simultanément.
Méthode 3 : via la ligne de commande
Pour les administrateurs système et les développeurs, la commande OpenSSL offre un accès direct aux informations du certificat. La syntaxe suivante retourne les détails complets d’un certificat SSL pour n’importe quel domaine :
openssl s_client -connect domaine.com:443 -showcerts
Le champ « issuer » dans la sortie indique l’autorité émettrice. Cette méthode est particulièrement adaptée aux environnements serveur où aucune interface graphique n’est disponible, ou pour automatiser des vérifications dans des scripts de monitoring.
Les acteurs majeurs du marché des certificats SSL
Let’s Encrypt mérite une mention particulière. Lancé en 2016 par l’Internet Security Research Group, ce service a radicalement transformé le marché en proposant des certificats DV gratuits et renouvelables automatiquement tous les 90 jours. Aujourd’hui, Let’s Encrypt protège plusieurs centaines de millions de sites web dans le monde, ce qui en fait l’AC la plus utilisée sur Internet. Son modèle open source et son processus d’émission entièrement automatisé ont démocratisé le HTTPS à grande échelle.
DigiCert occupe le haut du marché des certificats payants. L’entreprise est particulièrement présente dans les environnements enterprise et les secteurs régulés comme la finance ou la santé, où les certificats EV restent la norme. Après le rachat des activités SSL de Symantec en 2017, DigiCert a considérablement renforcé sa position sur le marché mondial.
Sectigo (anciennement Comodo CA) est le deuxième émetteur mondial en volume de certificats. Sa gamme couvre tous les niveaux de validation et s’adresse aussi bien aux particuliers qu’aux grandes entreprises. GlobalSign, de son côté, est souvent choisi par les organisations internationales pour sa présence dans de nombreux pays et sa compatibilité étendue avec les systèmes d’authentification d’entreprise.
Ces acteurs ne se valent pas tous sur le plan de la réputation. En 2017, Symantec a été sanctionné par Google pour avoir émis des milliers de certificats sans respecter les procédures requises. Chrome a progressivement retiré sa confiance aux certificats Symantec, forçant les propriétaires de sites à migrer vers d’autres AC. Cet épisode rappelle que la réputation d’une autorité peut évoluer rapidement.
Ce que révèle l’identité d’une autorité de certification sur la fiabilité d’un site
Un cadenas vert ne garantit pas qu’un site est légitime. C’est une réalité que beaucoup ignorent encore. Les sites de phishing utilisent massivement les certificats Let’s Encrypt, précisément parce qu’ils sont gratuits et obtenus en quelques secondes sans vérification d’identité. Un certificat DV prouve uniquement que le demandeur contrôle le domaine, pas qu’il s’agit d’une entreprise réelle.
À l’inverse, un certificat EV émis par DigiCert ou GlobalSign implique que l’AC a vérifié l’existence juridique de l’organisation, son adresse physique et son droit à utiliser le domaine. Ce niveau de vérification rend l’usurpation d’identité beaucoup plus difficile. Pour les sites de commerce en ligne ou les portails bancaires, vérifier le type de certificat et son émetteur reste une bonne pratique avant d’entrer des données sensibles.
La durée de validité du certificat est un autre indicateur. Depuis septembre 2020, la durée maximale d’un certificat SSL est limitée à 398 jours par décision des navigateurs majeurs. Un certificat avec une durée anormalement courte ou déjà expiré doit alerter. Les navigateurs le signalent automatiquement, mais vérifier manuellement ces informations reste utile pour les administrateurs qui gèrent un parc de domaines.
Enfin, surveiller régulièrement les certificats de votre propre infrastructure évite les mauvaises surprises. Un certificat expiré coupe l’accès aux utilisateurs et nuit à la crédibilité du service. Des outils comme Certbot automatisent le renouvellement pour les certificats Let’s Encrypt, tandis que des services de monitoring comme UptimeRobot ou Freshping envoient des alertes avant l’expiration. Connaître l’AC de chaque certificat de son infrastructure, c’est aussi savoir vers qui se tourner en cas de problème ou de révocation.