Certificats SSL

[christophe charron]

Bonjour,
la nouvelle politique,assez (trop?) stricte, sur la vérification des certificats SSL par FF3 m'amène à me poser une question : les certificats certifiés par le CACERT sont-ils désormais considérés comme fiables?
Parce qu'en voulant me logguer sur https://www.cacert.org/index.php?id=1, je me fais jeter, ce qui est quand même un comble pour un organisme de certification !!!

Merci d'avance pour vos retours et éventuelles précisions.

Message envoyé avec : Mozilla/5.0 (X11; U; Linux i686; fr; rv:1.9.0.3) Gecko/2008092510 Ubuntu/8.04 (hardy) Firefox/3.0.3

[myahoo]

Bien l'bonjour

Ils sont jugés non fiables car ils ne le sont pas. Cela arrive à pas mal de gros services ne s'étant pas assez mis à jour / corrigés*.
Si tu connais ce site, si tu es obligé d'y passer, force l'acceptation du certificat et signale le hic aux ouèbemasteurs.

Mieux vaut avoir un navigateur strict et qui nous dit que le site s'y prend mal, plutôt qu'un navigateur non strict qui permet à l'utilisateur de se faire arnaquer !!

(*) On trouve des sites d'universités, de l'État, d'académies etc. ayant ce souci.


[Édité] Pour accéder au site : lis et fais ce qui est dit
Donc dans l'ordre, Ajouter une exception… / Obtenir le certificat… / Confirmer l'exception de sécurité.
En plus, on a le détail : « Ce site Web ne fournit pas d'informations concernant son identité. »

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.0.3) Gecko/2008092417 Firefox/3.0.3

[teoli2003]

Euh, Firefox 2 jetait aussi ce site d'ailleurs.

Etre "organisme de certification" n'implique pas que l'on est bien. Je peux (et je l'ai fais) générer des certificats pour des sites, mais cela ne leur donne pourtant pas une garantie sur l'identité de ces clients.

C'est pour cela que la fondation Mozilla a adopté la politique suivante pour l'inclusion d'autorité de certifications dans Firefox:
1) L'inclusion est gratuite
3) Il faut subir un audit (les critères de l'audit sont publics) par une société d'audit à choix et à coût du demandeur
4) Il faut demander son inclusion via bugzilla.

Le détail est là: http://www.mozilla.org/projects/security/certs/policy/

Et la liste des pendants: http://www.mozilla.org/projects/security/certs/pending/

Je n'ai pas vu CACERT, ont-ils fait la demande?

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.9.0.3) Gecko/2008092417 Firefox/3.0.3

[calimo]

Voir http://www.mozilla.org/projects/security/certs/policy/
En gros il y a un audit en cours et ils attendent le résultat

Edit : grillé de justesse

[christophe charron]

Bonjour et merci aussi a Calimo, bien qu'il soit plus lent

Euh, Firefox 2 jetait aussi ce site d'ailleurs.

Je ne savais pas !!

Etre "organisme de certification" n'implique pas que l'on est bien. Je peux (et je l'ai fais) générer des certificats pour des sites, mais cela ne leur donne pourtant pas une garantie sur l'identité de ces clients.

C'est pour cela que la fondation Mozilla a adopté la politique suivante pour l'inclusion d'autorité de certifications dans Firefox:
1) L'inclusion est gratuite
3) Il faut subir un audit (les critères de l'audit sont publics) par une société d'audit à choix et à coût du demandeur
4) Il faut demander son inclusion via bugzilla.

Le détail est là: http://www.mozilla.org/projects/security/certs/policy/

Et la liste des pendants: http://www.mozilla.org/projects/security/certs/pending/

Oui, moi aussi je pense pouvoir créer des certificats auto-signés mais n'ayant pas les moyens financiers d'en acquerir, je me tourne vers CACERT.

Je n'ai pas vu CACERT, ont-ils fait la demande?

Mais peut-être connaissez-vous d'autres organismes qui délivrent gratuitement des certificats ?

Message envoyé avec : Mozilla/5.0 (X11; U; Linux i686; fr; rv:1.9.0.3) Gecko/2008092510 Ubuntu/8.04 (hardy) Firefox/3.0.3

[calimo]

Oui, moi aussi je pense pouvoir créer des certificats auto-signés mais n'ayant pas les moyens financiers d'en acquerir, je me tourne vers CACERT.

Euh, les certificats auto-signés, tu peux les créer toi-même en quelques minutes sans dépenser le moindre centime. C'est justement leur validation par une autorité qui "coûte" (ou qui est gratuite par CACERT).

Je me suis fait faire un certificat ici : http://www.comodo.com/products/certific ... icate.html mais je ne sais pas si tu peux l'utiliser pour un site web (je dirais que non...)

Edit : http://www.instantssl.com/ssl-certifica ... icate.html (mais 90 jours seulement de validité ?)
Tu en as pour - de 100€, par exemple : http://www.instantssl.com/
Tu devrais pouvoir trouver moins cher ailleurs