Devriez-vous utiliser des PKI publiques pour votre infrastructure privée ?

Si vous vous souvenez de mon article précédent, le monde est rempli de PKI. À l'un des extrêmes, il existe un grand nombre de PKI privées utilisées par une seule organisation. À l'autre, il existe une poignée de PKI publiques utilisées par des millions d'organisations et des milliards de personnes.

La décision de savoir laquelle utiliser—privée ou publique—est souvent simple. Si vous devez protéger une ressource qui doit être accessible par d'autres organisations, il y a de fortes chances que seule une PKI publique convienne. Cependant, l'inverse n'est pas toujours vrai. Si vous disposez d'une ressource entièrement interne, vous n'êtes pas obligé d'utiliser une PKI privée. Très souvent, une PKI publique fera très bien l'affaire, même si elle n'est pas destinée à ce cas d'usage.

Il existe des avantages et des inconvénients à choisir d'utiliser une PKI publique pour vos réseaux privés, et vous devez en être conscient avant de construire une trop grande partie de votre architecture sur un aspect qui n'est pas sous votre contrôle.

Pour beaucoup, la décision d'étendre une PKI publique à un usage interne se fait naturellement. Un jour, vous obtenez des certificats pour vos propriétés publiques, puis vous créez un site web interne qui nécessite également une protection. Il n'y a qu'un tout petit pas à franchir pour utiliser le même type de certificat que partout ailleurs.

C'est tout à fait acceptable. Utiliser des PKI publiques de cette manière est extrêmement rentable, car vous accédez à des ressources importantes exploitées par des dizaines d'AC publiques, à peu ou pas de frais. Le principal inconvénient est que vous devez jouer selon les règles de cet écosystème. En résumé :

• Les certificats publics sont publics ; cela peut surprendre, mais la grande majorité des certificats publics sont automatiquement publiés pour que le monde entier puisse les consulter. Ce système s'appelle la Transparence des Certificats (CT) ; il est conçu pour améliorer la sécurité de tous grâce à une transparence radicale.
• Méfiez-vous des limites de taux ; ce n'est peut-être pas quelque chose dont vous devez vous soucier si vous payez pour vos certificats, mais les AC gratuites ont leurs limites. Un usage limité de certificats publics passera inaperçu, mais des projets d'envergure (par exemple, l'IoT) atteindront très certainement ces limites, et vous pourriez soudainement vous retrouver avec votre émission bloquée.
• L'authentification est faible ; les PKI publiques sont conçues pour que tout le monde puisse y participer. Pour que cela fonctionne, le système a opté pour une authentification implicite basée sur la preuve du contrôle de l'infrastructure. De plus, les AC publiques n'ont pas besoin de votre consentement avant d'inclure vos noms dans leurs certificats. Bien qu'elles se comportent généralement comme il se doit, des délivrances erronées surviennent parfois.
• Vous devez vous adapter aux règles à mesure qu'elles évoluent ; les PKI publiques sont massives et changent continuellement pour réduire la surface d'attaque et améliorer la sécurité. Par exemple, au moment de la rédaction de cet article (début mars 2026), une réduction importante des durées de vie maximales autorisées des certificats est sur le point de commencer. De 398 jours aujourd'hui, les certificats devraient se réduire à seulement 47 jours en 2029. Un autre changement majeur a été la suppression des certificats clients de la Web PKI, ce qui a piégé de nombreuses entreprises utilisant des certificats publics en interne.
• La validation peut être pénible ; la méthode de validation de certificat dominante utilisée aujourd'hui repose sur la preuve du contrôle de l'infrastructure. Cela signifie que si vous voulez un certificat pour google.com, vous devez être en mesure d'apporter une modification au site web à cette adresse. Cela se complique lorsque votre infrastructure est privée ; les AC n'ont pas accès pour effectuer leurs vérifications. Pour aggraver les choses, de nos jours, les AC exploitent ce que l'on appelle le Contrôle d'Émission Multi-Perspective (MPIC), ce qui signifie qu'elles doivent valider depuis plusieurs emplacements géographiques afin d'empêcher les attaques de routage. Existe-t-il des moyens de résoudre ces problèmes ? Oui, il en existe. Vous ne pourrez pas simplement utiliser les paramètres par défaut, mais après avoir franchi quelques obstacles, vous y parviendrez. En fait, cela va bientôt devenir plus facile grâce à la nouvelle méthode de validation DNS-PERSIST-01.

Le meilleur avantage de faire les choses soi-même, c'est ceci : c'est votre PKI, ce sont vos règles. Si vous ne croyez pas aux durées de vie courtes des certificats mais que vous croyez en une vérification de révocation fiable, la bonne nouvelle est que vous pouvez le mettre en place. Vous disposez des mêmes outils que tout le monde, y compris certains des logiciels utilisés par les AC publiques pour l'émission. Lâchez-vous et construisez exactement ce dont vous avez besoin.

L'inconvénient est que vous devez tout faire vous-même. C'est coûteux ; vous avez besoin d'expertise, de temps et d'argent. C'est devenu moins coûteux ces dernières années, car il existe désormais de nombreux fournisseurs proposant des PKI en tant que service, ou PKIaaS.

Un grand avantage d'avoir le contrôle sur votre PKI est que vous pouvez avancer à la vitesse que vous souhaitez. Traditionnellement, cela a été un inconvénient. Les PKI publiques ont fait un excellent travail en abandonnant les cryptographies obsolètes et faibles, un domaine dans lequel de nombreuses PKI privées accusaient un sérieux retard.

Mais, lorsque la rapidité est essentielle, les PKI publiques peuvent être lentes. Prenez par exemple le fait que le monde est actuellement en pleine transition vers la cryptographie post-quantique. Dans votre propre PKI privée, vous pourriez, dès aujourd'hui, déployer des certificats basés sur des algorithmes résistants au quantique. Ces certificats restent hors de portée des PKI publiques.