Afin d’améliorer la sécurité du Web, Apple a dévoilé une nouvelle politique, qui entrera en vigueur plus tard dans l’année, pour que son navigateur Web, Safari, n’accepte que les certificats de sécurité HTTPS qui expirent dans 398 jours ou moins (13 mois). Cette mesure est envisagée par Apple, Google et d’autres depuis un certain temps.
En conséquence de cette nouvelle politique, tout site Web utilisant des certificats SSL/TLS de longue durée émis après le point de rupture entraînera l’affichage d’erreurs de confidentialité dans le navigateur du fabricant de l’iPhone.
Apple a présenté la nouvelle politique lors d’une récente réunion du Certification Authority Browser Forum (CA/Browser) en Slovaquie. Selon les participants à la réunion, à partir du 1er septembre, tout nouveau certificat de site Web valable plus de 398 jours ne sera pas reconnu par Safari et sera rejeté. Toutefois, les anciens certificats émis avant cette date limite ne seront pas concernés par cette nouvelle règle.
L’espoir est qu’en rejetant les anciens certificats de sécurité, elle obligera les administrateurs de sites Web à maintenir leurs certificats à jour avec la dernière technologie de chiffrement, au lieu d’utiliser des certificats plus anciens et moins sûrs. Cela permettra également de réduire l’impact d’un certificat qui aurait pu être compromis à l’insu de l’administrateur.
Comme Apple a pris la décision de mettre en œuvre cette nouvelle politique dans Safari, la société devra effectivement l’appliquer à tous les appareils fonctionnant sous iOS ou macOS. Cela signifie que les développeurs et les administrateurs de sites web seront obligés de s’assurer que leurs certificats répondent aux exigences d’Apple, sous peine de perdre de nombreux visiteurs sur leurs sites.
Un travail nécessaire
Ce changement n’est toutefois pas sans difficulté, car il créera davantage de travail pour les administrateurs de sites. Cependant, ce travail supplémentaire pour maintenir les choses à jour est précisément ce qui contribuera à rendre l’ensemble du système plus sûr, en maintenant la sécurité au premier plan dans les esprits et le travail des administrateurs.
Dans un article sur le changement d’Apple, Dean Coclin, directeur principal du développement commercial de DigiCert, a exprimé son accord avec ce changement. « DigiCert convient que des durées de vie plus courtes contribuent à renforcer la sécurité de l’écosystème et dispose des outils nécessaires pour aider nos clients à automatiser le processus de cycle de vie des certificats », écrit Coclin. « Nous prenons en charge les certificats à courte durée de vie, avec des durées de vie aussi courtes que quelques heures pour les clients disposant de capacités d’automatisation avancées ».
