Méthodes de validation SSL: toutes les autorités de certification ne sont pas identiques

Temps de lecture : 2 minutes

Lors de l'obtention d'un certificat SSL, l'autorité de certification (CA) effectue une vérification de l'identité de l'organisation demandeuse qui varie en fonction du niveau d'authentification requis par ce type de certificat. Alors que les CA offrent les mêmes niveaux d'authentification, il existe une différence dans leurs méthodologies de validation.

Quelles sont les principales différences de validation par les fournisseurs SSL?

La validation peut être effectuée de deux manières: manuellement ou automatiquement.

Traditionnellement, la validation manuelle (telle qu'utilisée par VeriSign, Thawte, Entrust) a été lourde, longue et coûteuse pour le fournisseur SSL et donc pour l'acheteur. La validation automatisée (telle qu'utilisée par GeoTrust et GoDaddy) est plus rapide et plus rentable, mais ne fournit pas le niveau d'assurance attendu par les consommateurs qui s'appuient sur SSL - Par exemple, les certificats SSL rapides de GeoTrust valident uniquement le droit du candidat d'utiliser un nom de domaine et pas la légitimité de l'entreprise elle-même.

Comodo, en utilisant IdAuthority, a innové la méthode de conduite de la validation de haute assurance (à la fois la propriété du nom de domaine et la légitimité de l'entreprise), ce qui a abouti à une assurance très élevée des fournisseurs de certificats SSL. Cela garantit un processus d'émission rapide sans compromettre le niveau d'assurance du certificat SSL.

Une validation forte est-elle vraiment importante?

La validation est essentielle!
Il fournit l'infrastructure de confiance sous-jacente à laquelle les consommateurs ont commencé à répondre. Premièrement, le demandeur doit être considéré comme ayant un droit légitime d'utiliser un nom de domaine et, deuxièmement, le demandeur doit être une entité légalement responsable. Tous les fournisseurs de haute assurance effectueront un processus de validation en deux étapes, les fournisseurs de faible assurance tels que GeoTrust et GoDaddy n'effectuant qu'un contrôle de propriété du nom de domaine.

Le manque de validation effectué par certains fournisseurs SSL a suscité des inquiétudes dans tout le secteur, de sorte qu'Opera avec la version 8 et Microsoft avec Internet Explorer 7 offrent aux consommateurs la possibilité d'afficher des détails améliorés sur le certificat. Comme le résume le rapport de Gartner «Secure Sockets Layer n'est parfois pas», les fournisseurs de faible assurance peuvent être responsables du manque de confiance dans SSL par les consommateurs. Au fur et à mesure que les consommateurs apprennent de sources de haut niveau que les certificats SSL de GeoTrust et GoDaddy ne signifient pas nécessairement qu'ils traitent avec une entité juridique vérifiée, la confiance dans les certificats GeoTrust sera réduite. Les sites achetant auprès de GeoTrust et GoDaddy peuvent potentiellement trouver leur SSL Les certificats n'offrent pas aux clients le niveau de confiance auquel ils s'attendent et qu'ils ont besoin.

COMMENCER L'ESSAI GRATUIT OBTENEZ GRATUITEMENT VOTRE SCORECARD DE SÉCURITÉ INSTANTANÉE