Comprendre la Structure des Certificats X.509
Les certificats X.509 utilisent l'encodage ASN.1 DER enveloppe en format PEM basé64. Le certificat contient une structure TBSCertificate (To Be Signed) avec le sujet, l'emetteur, la période de validite et la clé publique, suivie de l'identifiant de l'algorithme de signature et de la signature numerique. Les champs du TBSCertificate sont organises dans une sequence stricte définie par RFC 5280.
Champs du Sujet et de l'Emetteur
Le sujet identifié le propriétaire du certificat en utilisant des attributs de Nom Distingue comme Common Name (CN) pour le domaine, Organization (O) pour l'entreprise et Country (C) pour la juridiction. L'emetteur utilisé le même format pour identifier l'Autorité de Certification qui a signe le certificat.
Validite et Gestion de l'Expiration
Chaque certificat à un horodatage Pas Avant et Pas Après definissant sa fenêtre de validite. Les certificats durent typiquement un an pour le TLS public. Surveiller les dates d'expiration previent les interruptions de service causees par des certificats expires. Le renouvellement automatise avec des outils comme certbot éliminé le suivi manuel.
Algorithmes de Signature et Force des Clés
Les certificats modernes utilisent des algorithmes de hachage SHA-256 ou supérieurs avec des clés RSA (2048+ bits) ou ECDSA (P-256, P-384). Les signatures SHA-1 sont obsoletes et rejetees par les navigateurs. Les clés RSA 4096 bits offrent une sécurité supérieure au prix de handshakes plus volumineux, tandis que ECDSA P-256 fournit une sécurité equivalente avec des clés plus petites.
