Les différents types de certificats SSL

Il existe trois types de certificats SSL : les certificats à validation de domaine (DV), les certificats à validation d'organisation (OV) et les certificats à validation étendue (EV). Les niveaux de chiffrement sont les mêmes pour chaque type de certificat. Ce qui diffère, ce sont les processus d'audit et de vérification nécessaires pour obtenir le certificat.

Le nombre d'entreprises utilisant des certificats SSL a considérablement augmenté au cours des dernières années, et les cas d'application du SSL se sont diversifiés. Par exemple :

• vous pourriez avoir besoin du SSL pour assurer la confidentialité des communications (afin de ne pas être espionné),
• ou vous pourriez vouloir prouver que vous pouvez faire confiance à votre interlocuteur (identité au niveau de la communication privée).

Grâce au chiffrement, vous pouvez certes cacher les communications à un pirate informatique. Par contre, vous ne pouvez pas l'empêcher d'intercepter les communications et de se faire passer pour votre site web afin de voler les informations de vos clients. Les consommateurs se rendent de moins en moins dans les magasins traditionnels et achètent beaucoup plus en ligne. Ils doivent avoir la garantie que le propriétaire du site web du magasin sur lequel ils font leurs achats est bien celui qu’il dit être. Et cela s’avère plus difficile à prouver en ligne.

Vous pouvez prouver votre identité en faisant appel à une partie tierce (comme GlobalSign) de vérifier vos informations personnelles et celles de votre entreprise. Sur la base de cette procédure de vérification ou de contrôle, les certificats SSL peuvent être classés en trois catégories.

Certificats SSL à validation étendue (EV)

L'Autorité de Certification (AC)  vérifie que l'organisation en question possède le droit exclusif d'utilisation du nom de domaine et soumet celle-ci à un audit très approfondi . Depuis 2007, les règles du CA/B Forum définissent les étapes strictement obligatoires que doivent suivre les Autorités de Certification afin de pouvoir émettre un certificat SSL à validation étendue. Ces étapes comprennent :

• la vérification de l'existence légale, physique et opérationnelle de l'organisation,
• la vérification de l'exactitude des informations transmises sur l'organisation (adresse, n° de téléphone) par rapport aux registres officiels,
• la vérification du droit exclusif d'utilisation du nom de domaine spécifié dans la demande de certificat EV SSL par l'organisation en question,
• la vérification de l'accord de l'organisation pour l'émission du certificat.

Les derniers, et peut-être plus importants, changements au niveau de la technologie SSL depuis sa création ont eu lieu lors de la mise en place des règles de standardisation relatives à la validation étendue. Les versions récentes des navigateurs, tels que Microsoft Internet Explorer 7+, Opera 9.5+, Firefox 3+, Google Chrome, Apple Safari 3.2+ et iPhone Safari 3.0+, qui offrent une sécurité plus élevée, identifient les certificats ExtendedSSL en tant que certificats à validation étendue. Ainsi, les symboles de renforcement de la sécurité sont activés au niveau de l'interface du navigateur. ExtendedSSL est la solution idéale pour les clients souhaitant garantir un niveau élevé d'authenticité.

Les certificats EV SSL sont disponibles pour tous types d'entreprises, que ce soit des agences gouvernementales et des entreprises enregistrées ou non constituées en société. D'autres règles appelées l'"EV Audit Guidelines", indiquent les critères obligatoires que les Autorités de Certification doivent remplir afin de pouvoir émettre des certificats SSL à validation étendue. Un audit vérifiant que ces critères sont bien remplis est conduit chaque année.

Certificats SSL à validation de l'organisation (OV)

L'AC vérifie que l'organisation en question possède le droit exclusif d'utilisation du nom de domaine pour lequel elle souhaite recevoir le certificat et soumet celle-ci à certaines vérifications. Les informations vérifiées apparaissent également dans le sceau de site sécurisé, pour une confiance accrue de la part des visiteurs. Le nom de l’organisation apparait également dans le certificat sous le champ ON.

Certificats SSL à validation de domaine (DV)

L'AC vérifie que l'organisation en question possède le droit exclusif d'utilisation du nom de domaine pour lequel elle souhaite recevoir le certificat. L'identité de l’entreprise ne fait l’objet d’aucune vérification particulière. Aucune information n’apparait donc dans le sceau de site sécurisé, mis à part les informations relatives au chiffrement. Vous avez la garantie que vos informations sont chiffrées, mais vous ne pouvez pas être sûr de savoir qui est réellement le destinataire de ces informations.

Le certificat DomainSSL est aussi reconnu et affiche les mêmes symboles de sécurité que le certificat OrganizationSSL au niveau du navigateur. Contrairement à ce dernier, il a l'avantage majeur de pouvoir être émis quasi immédiatement, sans avoir à soumettre de documents spécifiques relatifs à l'entreprise. Ainsi, DomainSSL est le certificat idéal pour les entreprises ayant besoin d'un certificat SSL pas cher, rapidement et sans contraintes administratives.