Comprendre la Structure des Certificats X.509
Les certificats X.509 utilisent l'encodage ASN.1 DER enveloppe en format PEM base64. Le certificat contient une structure TBSCertificate (To Be Signed) avec le sujet, l'emetteur, la periode de validite et la cle publique, suivie de l'identifiant de l'algorithme de signature et de la signature numerique. Les champs du TBSCertificate sont organises dans une sequence stricte definie par RFC 5280.
Champs du Sujet et de l'Emetteur
Le sujet identifie le proprietaire du certificat en utilisant des attributs de Nom Distingue comme Common Name (CN) pour le domaine, Organization (O) pour l'entreprise et Country (C) pour la juridiction. L'emetteur utilise le meme format pour identifier l'Autorite de Certification qui a signe le certificat.
Validite et Gestion de l'Expiration
Chaque certificat a un horodatage Pas Avant et Pas Apres definissant sa fenetre de validite. Les certificats durent typiquement un an pour le TLS public. Surveiller les dates d'expiration previent les interruptions de service causees par des certificats expires. Le renouvellement automatise avec des outils comme certbot elimine le suivi manuel.
Algorithmes de Signature et Force des Cles
Les certificats modernes utilisent des algorithmes de hachage SHA-256 ou superieurs avec des cles RSA (2048+ bits) ou ECDSA (P-256, P-384). Les signatures SHA-1 sont obsoletes et rejetees par les navigateurs. Les cles RSA 4096 bits offrent une securite superieure au prix de handshakes plus volumineux, tandis que ECDSA P-256 fournit une securite equivalente avec des cles plus petites.
