Certificats, CAA et Certificate Transparency

issue et issuewild

issue liste les CA autorisées à émettre des certificats classiques. issuewild fait de même pour les wildcards (*.exemple.fr) ; en son absence, les wildcards suivent issue. La valeur ";" signifie « personne ». L'exemple ci-dessus autorise Let's Encrypt pour les certificats classiques et interdit tout wildcard.

iodef : qui est prévenu

Une adresse où une CA peut signaler une demande refusée. Toutes les CA ne l'utilisent pas, considérez-le comme un bonus. Le scan note son absence à titre d'information seulement.

Trouver le bon identifiant

Chaque CA documente le domaine à inscrire : letsencrypt.org, pki.goog (Google Trust Services), digicert.com, sectigo.com, etc. Les CDN et plateformes d'hébergement passent souvent par une ou plusieurs CA pour vous : lisez leur documentation avant de restreindre.

CAA record : Absent

N'importe quelle CA publique peut émettre pour votre domaine. Le scan le classe en gravité moyenne. Publier un enregistrement prend cinq minutes dans votre interface DNS.

Issuance matches CAA, et le tableau « Authorities that actually issued »

Le scan compare les CA à l'origine de vos certificats encore valides avec votre enregistrement. Not in CAA signifie qu'une CA a émis un certificat que votre enregistrement n'autorise pas aujourd'hui. Le plus souvent, l'enregistrement a été ajouté après le certificat, ou un prestataire oublié passe par une autre CA. Identifiez le cas, puis ajoutez cette CA ou faites révoquer et remplacer le certificat.

Validation ACME (_acme-challenge)

Un CNAME sur _acme-challenge délègue la validation des certificats à un tiers (un CDN, un service d'automatisation DNS). Ce tiers peut obtenir des certificats pour votre domaine, et CAA ne l'en empêche pas : CAA limite quelle CA signe, pas qui prouve le contrôle. Si le scan indique target zone missing, la délégation pointe vers un domaine qui n'existe plus, et celui qui l'enregistre pourra obtenir des certificats à votre nom. Supprimez cet enregistrement tout de suite. Les jetons TXT restés sur _acme-challenge (« stale tokens ») sont sans danger mais peuvent être nettoyés.

Une nouvelle autorité s'est mise à émettre

Le bandeau jaune apparaît quand une CA que vous n'utilisiez pas commence à émettre alors qu'une autre est déjà en place. Après un changement d'hébergeur ou de CDN, c'est normal. Si personne n'a rien changé de votre côté, cherchez qui a demandé ce certificat.

Noms wildcard valides

Un certificat wildcard couvre tous les sous-domaines de ce niveau. Sa clé privée vaut plus que celle d'un certificat à un seul nom, et elle finit souvent copiée sur de nombreux serveurs. Sachez où se trouve chacun, et préférez un certificat par service quand l'automatisation les rend gratuits.

Beaucoup de certificats valides en même temps, ou un renouvellement très rapproché

Que plusieurs plateformes (CDN, messagerie, préproduction) aient chacune leur certificat est normal. Un outil qui redemande un certificat tous les jours, ou des dizaines de certificats valides en même temps pour un seul nom, trahit généralement une boucle de renouvellement à corriger. « Log duplicates merged » n'est pas un problème : un précertificat et son certificat final sont journalisés séparément et comptés une seule fois.

Pourquoi cela arrive

Certains CDN, hébergeurs mutualisés et créateurs de sites regroupent de nombreux clients sur un certificat pour économiser des certificats ou des adresses IP. C'est le signe d'un hébergement mutualisé, pas d'une compromission.

Pourquoi c'est important

Vous ne maîtrisez pas la clé : celui qui la détient peut servir n'importe quel nom de la liste. Quiconque lit le certificat découvre aussi vos voisins, et les enquêteurs s'appuient sur ces listes pour relier des domaines entre eux. Pour un site de marque, une page de connexion ou tout ce qui touche aux données clients, demandez un certificat dédié à votre prestataire (souvent une option ou une formule) ou utilisez le vôtre.

S'en servir pour repérer les certificats frauduleux

Plusieurs services gratuits (certaines CA, certains CDN, des outils open source) vous envoient un email dès qu'un nouveau certificat pour votre domaine est journalisé. Activez-en un : c'est le seul moyen d'apprendre vite que quelqu'un a obtenu un certificat à votre nom.

Tout y est public, pour toujours

Des noms comme vpn-test.exemple.fr ou jira-old.exemple.fr restent lisibles après la fin du service. C'est ainsi que les attaquants énumèrent les sous-domaines. Les noms qui ne résolvent plus sont traités dans prise de contrôle de sous-domaine. Pour les machines purement internes, utilisez une CA privée ou un wildcard plutôt que de journaliser chaque nom.

Impossible de retirer une entrée

Si un certificat a été émis par erreur, faites-le révoquer par la CA. Il reste dans le journal, mais il est marqué révoqué et n'est plus accepté par les clients qui vérifient.