EnglishCommencer

Certificats et infrastructure à clés publiques

Le certificat X.509 champ par champ, la chaîne feuille, intermédiaire et racine, les rôles dans une infrastructure à clés publiques, le cycle de vie (demande, émission, renouvellement, révocation) et les erreurs de certificat les plus courantes.

  • 26 cartes
  • 4 thèmes
  • Gratuit
Réviser ce deck

Le programme, thème par thème

Le poids de chaque thème suit celui que lui donne l'examen.

  1. Notions
  2. Questions
  3. Ranger et relier
  4. Mises en situation

Quelques cartes du deck

  • Infrastructure à clés publiques : de quoi s'agit-il ?

    Voir la réponse

    Ensemble de rôles, de règles et de logiciels qui émettent, distribuent, renouvellent et révoquent les certificats liant des clés à des identités.

    Savoir qu'une clé publique appartient bien à tel site ne se déduit pas de la clé elle-même : il faut un tiers de confiance et tout le cycle autour de lui.

  • Ce certificat est présenté par www.exemple.fr le 6 novembre 2026 et le navigateur le refuse. Quelle est la cause ?

    ```text
    Subject: CN = www.exemple.fr
    Issuer: CN = Exemple Issuing CA
    Validity
    Not Before: Oct 1 00:00:00 2026 GMT
    Not After : Dec 30 00:00:00 2026 GMT
    X509v3 Subject Alternative Name:
    DNS:exemple.fr, DNS:blog.exemple.fr
    `

    • Le nom www.exemple.fr est absent des noms alternatifs, que le navigateur consulte à la place du CN
    • La date du jour tombe en dehors de la période de validité du certificat
    • Le sujet et l'émetteur n'ont pas le même nom, ce qui est interdit pour une feuille
    • La période de validité dépasse deux mois, ce qu'un navigateur n'accepte plus
    Voir la réponse

    Le nom www.exemple.fr est absent des noms alternatifs, que le navigateur consulte à la place du CN

    La période couvre le 6 novembre. Le CN indique bien www.exemple.fr mais les navigateurs ne s'y fient plus : seul le SAN compte. Chrome affiche ERR_CERT_COMMON_NAME_INVALID. Un sujet différent de l'émetteur est au contraire normal.

  • Les noms de domaine pour lesquels un certificat est valable figurent dans l'extension ….

    Voir la réponse

    Les noms de domaine pour lesquels un certificat est valable figurent dans l'extension Subject Alternative Name.

    Les navigateurs modernes ignorent le CN du sujet. Un certificat pour exemple.fr ne couvre pas www.exemple.fr, sauf s'il le liste ou s'il porte un joker *.exemple.fr.

  • Certificat X.509 : de quoi s'agit-il ?

    Voir la réponse

    Document signé qui lie une clé publique à une identité, avec un émetteur, une période de validité, des noms alternatifs et des usages autorisés.

    Il ne contient jamais la clé privée. Les navigateurs vérifient le nom du site dans les noms alternatifs (SAN), pas dans le champ CN.

  • curl https://api.exemple.fr répond « curl: (60) SSL certificate problem: unable to get local issuer certificate », alors que les navigateurs acceptent le site. Quelle est la cause probable et la solution ?

    • Le certificat est expiré ; le renouveler avant la date de fin
    • Le serveur n'envoie pas l'intermédiaire ; configurer le serveur avec la chaîne complète
    • Le nom du site manque dans les SAN ; réémettre un certificat avec le bon nom
    • La racine est révoquée ; passer à une autre autorité de certification
    Voir la réponse

    Le serveur n'envoie pas l'intermédiaire ; configurer le serveur avec la chaîne complète

    Les navigateurs retrouvent souvent l'intermédiaire seuls (cache, téléchargement), pas curl. Un certificat expiré ou un mauvais nom donnent d'autres messages (certificate has expired, no alternative certificate subject name matches).

Réviser ce deck