Certificat client vs certificat serveur : quelle est la différence ?
Les certificats clients sont des certificats numériques qui permettent aux utilisateurs et aux personnes physiques de prouver leur identité à un serveur. Ils sont généralement utilisés au sein d’organisations privées pour authentifier les demandes adressées à des serveurs distants. Plus couramment appelés certificats TLS/SSL, les certificats serveurs visent à protéger les domaines web et les serveurs. Les certificats serveurs jouent un rôle très similaire aux certificats clients, à la différence que les derniers servent à identifier des clients/personnes physiques et que les premiers authentifient le propriétaire du site.
Qu’est-ce qu’un certificat client ?
Comme son nom l’indique, un certificat client permet d’identifier précisément un client ou un utilisateur, et de l’authentifier auprès du serveur. Pour certains, le terme PKI ou « certificat client » évoque l’image d’entreprises qui protègent et effectuent les transactions en ligne de leurs clients. Toutefois, ces certificats sont omniprésents dans notre quotidien : lorsque nous nous connectons à un VPN, utilisons une carte bancaire dans un guichet automatique, ou une carte d’accès à un bâtiment, dans les cartes à puce des transports en commun, etc. On retrouve ces certificats numériques même dans les pompes à essence, les robots des chaînes de montage automobiles et dans nos passeports.
L’utilisation de certificats clients est particulièrement répandue en Europe continentale et dans beaucoup d’autres pays. Les autorités administratives les utilisent entre autres dans les cartes d’identité à usages multiples qui servent comme permis de conduire ou à payer ses impôts ou ses factures d’électricité. Et la raison est simple : les certificats clients jouent un rôle essentiel pour garantir la sécurité des personnes en ligne.
Qu’est-ce qu’un certificat serveur ?
Les certificats serveurs sont généralement délivrés à des noms d’hôte. Il peut s’agir d’un nom de machine (ex. : « XYZ-SERVER-01 ») ou d’un nom de domaine (ex. : « www.digicert.fr »). Un navigateur web qui interagit avec le serveur valide l’authenticité du certificat serveur TLS/SSL. De la sorte, l’utilisateur sait que ses interactions avec le site web ne peuvent pas être interceptées et que le site est exactement ce qu’il prétend être. Aujourd’hui, ces certificats sont largement utilisés, car la sécurité qu’ils offrent est cruciale pour le commerce en ligne.
Comment les certificats serveurs et les certificats clients interagissent-ils pour assurer votre sécurité en ligne ?
Concrètement, pour obtenir un certificat serveur, le propriétaire d’un site web envoie une requête de signature de certificat (CSR) à un fournisseur de certificats tel que DigiCert. Il s’agit d’un document électronique contenant toutes les informations essentielles : nom du site web, adresse e-mail du contact, informations sur l’entreprise, etc.
Le fournisseur de certificats signe la requête CSR, crée un certificat public qui est utilisé sur tout navigateur web qui se connecte au site web et, surtout, prouve au navigateur web que le fournisseur a délivré un certificat à la personne qu’il croit être le propriétaire du site Internet. Cependant, avant d’émettre un certificat, le fournisseur demande l’adresse e-mail du contact pour le site web à un bureau d’enregistrement de noms de domaine public, puis il compare cette adresse publiée avec l’adresse e-mail fournie dans la demande de certificat, en s’assurant que le cercle de confiance a été bouclé.
Vous pouvez également configurer votre site web de sorte que tout utilisateur souhaitant s’y connecter soit tenu de fournir un certificat client valide, ainsi qu’un nom d’utilisateur et un mot de passe valides. C’est ce que l’on appelle une « authentification à deux facteurs », en l’occurrence ici, « quelque chose que vous savez » (mot de passe) et « quelque chose que vous avez » (certificat).
Pour les personnes qui effectuent des transactions en ligne, les certificats mettent fin à l’anonymat et leur confirme que les sites web avec lesquels elles interagissent sont dignes de confiance. Dans un monde numérique où notre sécurité est continuellement remise en question, une telle garantie est inestimable.
