Certificats & chiffrement

Date de fin de validité par hôte, présence d’un renouvellement automatisé, et régularité des renouvellements passés.

L'expiration reste la première cause de panne TLS, et la seule qui soit entièrement prévisible. Elle survient presque toujours sur l'hôte que personne ne surveillait.

Complétude de la chaîne réellement servie, intermédiaires manquants, ordre des certificats présentés.

Une chaîne incomplète passe sur un navigateur de bureau, qui complète de lui-même, et échoue sur mobile et sur les clients applicatifs. C'est la panne la plus difficile à faire reproduire.

Versions négociables sur chaque hôte, et refus effectif des versions dépréciées.

Les versions retirées des navigateurs restent souvent acceptées côté serveur. Elles ne servent plus personne et sont disqualifiantes dans un audit fournisseur.

Noms couverts par le certificat comparés aux noms réellement servis : apex, www, sous-domaines et hôtes de messagerie.

Un nom absent du certificat déclenche l'avertissement plein écran du navigateur — celui qui fait partir le visiteur avant d'avoir lu la page.

Suites proposées et ordre de préférence, confidentialité persistante, présence de suites nulles, anonymes ou d’export.

Une suite sans confidentialité persistante rend déchiffrable, plus tard, tout trafic capturé aujourd'hui. La fuite est différée, pas évitée.

Redirection du trafic en clair, présence et durée de l’en-tête HSTS, portée aux sous-domaines, inscription en liste de préchargement.

Sans HSTS, la toute première visite part en clair et peut être détournée avant que la redirection n'ait lieu.

Certificats émis sur vos domaines et publiés dans les journaux, autorités inattendues, sous-domaines que vous ne connaissiez pas.

Un certificat émis à votre nom que vous n'avez pas demandé est soit un service oublié, soit quelqu'un d'autre. Les deux méritent une réponse.

Présence d’enregistrements CAA, autorités explicitement autorisées, et adresse de signalement des demandes refusées.

Sans CAA, n'importe quelle autorité de certification peut légitimement émettre pour votre domaine. Avec, vous choisissez lesquelles.