Base de Connaissances

Le secteur des certificats modifie la manière dont les autorités de certification (CA) exploitent et gèrent les certificats racines et intermédiaires publiquement approuvés. Prochainement, les programmes racines (Google Chrome, Apple, Mozilla et Microsoft) exigeront des CA, telles que DigiCert, qu’elles abandonnent les hiérarchies racines à usages multiples au profit de hiérarchies dédiées à un seul usage afin de renforcer la sécurité et la confiance numérique.

DigiCert a aligné sa stratégie relative aux racines sur les exigences des navigateurs. Ces exigences concernent spécifiquement la WebPKI publique et n’affectent pas les éléments suivants:

• X9 PKI for TLS
  Ces certificats fonctionnent indépendamment de la WebPKI standard (navigateurs). Ils suivent leurs propres calendriers, définis par la communauté, pour les mises à jour des racines.

• Magasins de racines privés, gouvernementaux et autres magasins de racines hors navigateur
  Comme ils sont gérés par des entités autres que les navigateurs, ils ne sont pas concernés par ces exigences spécifiques des navigateurs.

Actions requises:

1. Assurez-vous de ne pas épingler de certificat publiquement approuvé, qu’il s’agisse d’un certificat racine ou d’un autre certificat.
2. Installez toujours la chaîne de certificats complète plutôt que le seul certificat d’entité finale.

Dans cet article

• DigiCert transfère l’émission des certificats TLS vers les hiérarchies racines TLS G5
  • La migration vers les hiérarchies racines TLS G5 a-t-elle une incidence sur mon environnement?

• Transition vers des certificats TLS publics à EKU unique
  • La transition vers des certificats à EKU unique a-t-elle une incidence sur mon environnement?

• DigiCert remplacera les certificats d’autorité de certification intermédiaire TLS G5 et commencera la rotation annuelle des ICA
  • Le remplacement des certificats ICA et la nouvelle politique de rotation ont-ils une incidence sur mon environnement?

• Appareils hors navigateur: envisagez des certificats TLS privés

• Révocation des certificats intermédiaires (ICA) et à signature croisée
  • La révocation des certificats ICA et des certificats racines à signature croisée a-t-elle une incidence sur mon environnement?

• Suppression des racines G1 par Mozilla et Google Chrome
  • La suppression des racines G1 a-t-elle une incidence sur mon environnement?

DigiCert transfère l’émission des certificats TLS vers les hiérarchies racines TLS G5

Date de début: 12 novembre 2026

Le 12 novembre 2026, entre 11 h 00 et 13 h 00 MST (18 h 00 et 20 h 00 UTC), DigiCert commencera à émettre par défaut les certificats TLS publics à partir des hiérarchies racines DigiCert TLS RSA4096 Root G5 et DigiCert TLS ECC P384 Root G5.

Par défaut, les certificats TLS émis après cette date, notamment les nouvelles commandes, les renouvellements, les réémissions et les duplicatas, seront chaînés aux nouvelles racines TLS publiques G5 de DigiCert.

Cette modification s’applique à tous les certificats TLS publics, notamment DV, OV et EV, pour toutes les marques DigiCert: DigiCert®, GeoTrust®, Thawte®, RapidSSL® et Encryption Everywhere®. 

Pourquoi ce changement?

À compter du 15 septembre 2027, le Google Chrome Root Program limitera les autorités de certification à un maximum de deux racines TLS actives dans Chrome Root Store.

Pour appliquer cette limite de deux racines, Chrome Root Store prendra uniquement en charge les hiérarchies DigiCert TLS RSA4096 Root G5 et DigiCert TLS ECC P384 Root G5 de DigiCert à compter du 15 septembre 2027. 

Pourquoi DigiCert migre-t-il vers les hiérarchies racines G5 le 12 novembre 2026?

DigiCert a choisi le 12 novembre 2026 pour effectuer cette transition pour les raisons suivantes:

• Vos certificats TLS publics émis à partir des hiérarchies DigiCert TLS RSA4096 Root G5 et DigiCert TLS ECC P384 Root G5 continueront d’être approuvés par Google Chrome et les autres principaux navigateurs.

• En migrant dès maintenant vers les hiérarchies de certificats racines DigiCert G5, vous disposerez du temps nécessaire pour identifier et résoudre les éventuels problèmes de déploiement ou de compatibilité avant que les hiérarchies de certificats racines DigiCert Global Root G2 (RSA) et DigiCert Global Root G3 (ECC) ne soient supprimées de Chrome et des autres principaux navigateurs.

La migration vers les hiérarchies racines TLS G5 a-t-elle une incidence sur mon environnement?

Oui. Cette modification s’applique à tous les clients DigiCert utilisant des certificats TLS publics DigiCert. Toutefois, pour la plupart des clients DigiCert, aucune action n’est requise si vous installez toujours la chaîne de certificats fournie par DigiCert.

À compter du 12 novembre 2026, tous les nouveaux certificats TLS publics, ainsi que les certificats réémis et les duplicatas, seront émis par défaut à partir des hiérarchies racines TLS G5.

Pour les dépendances critiques qui reposent sur les hiérarchies racines DigiCert Global Root G2 (RSA) et DigiCert Global Root G3 (ECC), consultez le Guide de migration vers les racines DigiCert G5 et de sélection des certificats ICA pour savoir comment continuer à émettre des certificats à partir de votre hiérarchie racine actuelle pendant la transition. Contactez ensuite votre responsable de compte ou le support DigiCert afin que cette option soit activée pour votre compte. 

Que dois-je faire?

Dans la plupart des cas, aucune action n’est requise si vous suivez les bonnes pratiques d’installation des certificats TLS, notamment en installant le certificat intermédiaire émetteur avec votre certificat TLS. 

Le certificat d’autorité de certification intermédiaire relie votre certificat TLS à sa racine de confiance, ce qui permet aux navigateurs, aux systèmes d’exploitation et aux applications de faire confiance au certificat qui protège votre site ou votre application.

À compter du 12 novembre 2026, lorsque vous commandez, renouvelez, réémettez ou dupliquez un certificat TLS public, DigiCert l’émettra par défaut à partir d’une hiérarchie racine TLS G5.

Des actions supplémentaires peuvent être requises dans les cas d’utilisation suivants:

Transition vers des certificats TLS publics à EKU unique

Échéance: 1er mars 2027

Le 1er mars 2027, DigiCert supprimera l’EKU Client Authentication des certificats chaînés à DigiCert Global G2 root, DigiCert Global G3 root, DigiCert TLS RSA4096 Root G5 et DigiCert TLS P384 Root G5. Cette modification s’aligne sur l’évolution des exigences du CA/Browser Forum et des programmes racines qui limitent l’utilisation de l’EKU clientAuth dans les certificats TLS publiquement approuvés. En savoir plus sur les raisons pour lesquelles nous supprimons l’EKU Client Authentication des certificats TLS publics.  

Cette modification concerne tous les certificats TLS publics de DigiCert: DV, OV, EV, EU Qualified Website Authentication Certificate (QWAC) et EU QWAC PSD2, ainsi que toutes les marques DigiCert: DigiCert®, GeoTrust®, Thawte®, RapidSSL® et Encryption Everywhere®.

Pourquoi ce changement?

Le Google Chrome Root Program exige que les CA cessent d’inclure l’utilisation étendue de clé (EKU) Client Authentication dans les certificats TLS publics.

La transition vers des certificats à EKU unique a-t-elle une incidence sur mon environnement?

• Propriétaires de sites web standard: si vous utilisez uniquement des certificats TLS pour sécuriser des sites web (HTTPS), aucune action n’est requise.
  
• Utilisateurs mTLS: si votre organisation utilise des certificats TLS publics pour Mutual TLS (mTLS) ou pour l’identité serveur à serveur, vous êtes concerné et une action est requise. 
  DigiCert vous recommande de cesser d’utiliser l’EKU clientAuth dans tous les certificats publics.

DigiCert propose d’excellentes options à ses clients et partenaires qui ont besoin de l’EKU Client Authentication au-delà du 1er mars 2027.

DigiCert remplacera les certificats d’autorité de certification intermédiaire TLS G5 et commencera la rotation annuelle des ICA

Date de début: 15 octobre 2027

DigiCert met à jour sa politique de rotation des certificats d’autorité de certification intermédiaire TLS. À compter du 15 octobre 2027, DigiCert effectuera une rotation des certificats d’autorité de certification intermédiaire TLS environ tous les 365 jours.

À compter du 15 octobre 2027: 

• DigiCert commencera à émettre par défaut les certificats TLS publics à partir de nouveaux certificats d’autorité de certification intermédiaire TLS G5 RSA et G5 ECC.

• DigiCert remplacera les certificats d’autorité de certification intermédiaire TLS publics environ tous les 365 jours.

• Par défaut, les certificats TLS émis après cette date, notamment les nouvelles commandes, les renouvellements, les réémissions et les duplicatas, seront émis à partir des nouveaux certificats d’autorité de certification intermédiaire G5.

Cette modification s’applique à tous les certificats TLS publics, notamment DV, OV et EV, pour toutes les marques DigiCert: DigiCert®, GeoTrust®, Thawte®, RapidSSL® et Encryption Everywhere®.

Remarque concernant les certificats ICA personnalisés: DigiCert évalue encore l’incidence sur les certificats ICA personnalisés. Si vous disposez d’un certificat ICA personnalisé, DigiCert vous communiquera séparément toute modification correspondante. 

Pourquoi ce changement?

Cette modification s’aligne sur l’évolution du Google Chrome Root Program vers un modèle de rotation plus fréquente des autorités de certification intermédiaires. Des rotations plus fréquentes des ICA améliorent la crypto-agilité et réduisent la dépendance à long terme à un seul certificat ICA.

Le remplacement des certificats ICA et la nouvelle politique de rotation ont-ils une incidence sur mon environnement?

Oui. Cette modification s’applique à tous les clients DigiCert utilisant des certificats publics DV, OV, EV, QWAC et QWAC PSD2 émis à partir des certificats d’autorité de certification intermédiaire G5 remplacés le 15 octobre 2027. Toutefois, pour la plupart des clients DigiCert, aucune action n’est requise si vous installez toujours la chaîne de certificats complète fournie par DigiCert.

À compter du 15 octobre 2027, les nouveaux certificats TLS publics, ainsi que les certificats réémis et les duplicatas, seront émis par défaut à partir des nouveaux certificats ICA TLS G5. 

Que dois-je faire?

Dans la plupart des cas, aucune action n’est requise si vous suivez les bonnes pratiques d’installation des certificats TLS, notamment en installant le certificat d’autorité de certification intermédiaire émetteur avec votre certificat TLS.

Le certificat d’autorité de certification intermédiaire relie votre certificat TLS à sa racine de confiance, ce qui permet aux navigateurs, aux systèmes d’exploitation et aux applications de faire confiance au certificat qui protège votre site ou votre application.

À compter du 15 octobre 2027, lorsque vous commandez, renouvelez, réémettez ou dupliquez un certificat TLS public, DigiCert l’émettra par défaut à partir des nouveaux certificats d’autorité de certification intermédiaire TLS G5. 

Des actions supplémentaires peuvent être requises dans les scénarios suivants: 

Appareils hors navigateur: envisagez des alternatives aux certificats TLS approuvés par les navigateurs 

Pour les appareils hors navigateur, des certificats TLS publiquement approuvés peuvent ne pas être nécessaires. Dans ces environnements, les communications s’effectuent généralement entre un appareil et un serveur, et non entre un navigateur et un site web public.

Si vos appareils utilisent des certificats TLS pour Mutual TLS (mTLS), l’authentification serveur à serveur, les API ou d’autres cas d’utilisation d’authentification hors navigateur, DigiCert recommande de ne plus utiliser de certificats TLS publiquement approuvés pour ces cas d’utilisation. Cela permet de réduire la dépendance aux exigences du secteur relatives aux certificats TLS publics et aux modifications imposées par les navigateurs. 

Envisagez plutôt les options suivantes

X9 PKI for TLS

Migrez vers les certificats X9 PKI for TLS de DigiCert pour sécuriser les communications impliquant plusieurs organisations. Régie par les équipes ASC X9 PKI Policy and Operations, X9 PKI repose sur une politique de certificats indépendante, sans lien avec les navigateurs, tout en garantissant l’interopérabilité grâce à l’utilisation d’une racine de confiance commune.

Les certificats X9 PKI for TLS peuvent comporter des EKU d’authentification client et serveur, répondant ainsi aux besoins actuels en matière de contrôle, de sécurité, de flexibilité et d’évolutivité grâce à des fonctionnalités de chiffrement, d’identité et de certification croisée. En savoir plus sur X9 PKI et planifier une consultation.

Private Trust

Migrez vers Private PKI en tant que service pour les besoins métier strictement internes. DigiCert peut configurer et exploiter une PKI privée pour votre organisation en s’appuyant sur son expertise opérationnelle et ses investissements en matière de sécurité. En savoir plus. 

Confiance publique hors navigateur

Migrez vers les hiérarchies racines DigiCert existantes pour les besoins métier nécessitant une compatibilité étendue hors navigateur. Vous pouvez utiliser ces hiérarchies racines DigiCert pour émettre des certificats TLS qui incluent l’EKU clientAuth:

• DigiCert Assured ID Root G2 (RSA)

• DigiCert Assured ID Root G3 (ECC)

Les certificats TLS émis à partir de ces hiérarchies ne seront pas approuvés dans Google Chrome ou Mozilla Firefox. Contactez votre responsable de compte pour déterminer si cette option vous convient.

Révocation des certificats intermédiaires (ICA) et à signature croisée

Échéance: 15 mai 2026

DigiCert révoquera plusieurs certificats d’autorité de certification intermédiaire (ICA) G2 et G3 ainsi que deux certificats racines G5 à signature croisée le 15 mai 2026.

Pourquoi ce changement?

Le Google Chrome Root Program exige que les autorités de certification (CA) utilisent des hiérarchies racines TLS dédiées pour émettre des certificats TLS publics. Pour faire évoluer nos hiérarchies racines TLS G2 et G3 vers des hiérarchies à usage unique dédiées à l’émission de certificats TLS publics RSA et ECC, DigiCert doit révoquer plusieurs certificats ICA G2 et G3 utilisés pour émettre des certificats autres que TLS, tels que S/MIME et Code Signing. Nous devons également révoquer un certificat racine de signature de code à signature croisée. En savoir plus sur la transition des racines G2 et G3 à usages multiples vers des hiérarchies racines TLS dédiées.

Révocations supplémentaires

DigiCert doit révoquer un certificat ICA TLS et un certificat racine TLS à signature croisée qui ne contiennent aucun EKU. La politique de Google Chrome exige que les CA incluent uniquement les EKU Server Authentication (serverAuth) et, éventuellement, Client Authentication (clientAuth) dans leurs certificats ICA et leurs certificats racines à signature croisée.

Consultez la liste des certificats ICA et des certificats racines à signature croisée qui seront révoqués:

• Certificats ICA G2 et G3 qui seront révoqués et certificats d’entité finale concernés
• Racines G5 à signature croisée qui seront révoquées et certificats d’entité finale concernés

La révocation des certificats ICA et des certificats racines à signature croisée a-t-elle une incidence sur mon environnement?

• Révocations de certificats ICA: vous êtes uniquement concerné par ces révocations si vous disposez de certificats actifs émis par l’un des certificats ICA G2 et G3 qui seront révoqués. 
  
• Révocations de certificats à signature croisée: vous êtes uniquement concerné par ces révocations si vous disposez de certificats actifs émis à partir des hiérarchies racines G5 TLS et Code Signing et si vous avez installé l’une des racines à signature croisée qui seront révoquées dans vos chaînes de confiance de certificats.

Actions requises

Suppression des racines G1 par Mozilla et Google Chrome

Échéance: 15 avril 2026

Le 15 avril 2026, Mozilla et Google Chrome ont supprimé les certificats racines G1 de DigiCert de leurs magasins de confiance.

Contexte

Afin de réduire au minimum l’incidence de la suppression des racines G1, DigiCert a transféré l’émission par défaut de ses certificats TLS publics vers ses hiérarchies de deuxième génération (G2) le 8 mars 2023. Consultez Mises à jour 2023 des certificats racines et d’autorité de certification intermédiaire DigiCert.

Toutefois, certains clients disposent d’appareils qui nécessitent des mises à jour avant de pouvoir migrer vers les hiérarchies racines G2. DigiCert peut autoriser certains clients, à titre exceptionnel, à continuer à émettre des certificats TLS à partir de nos hiérarchies racines G1. Toutefois, ces certificats ne sont plus approuvés dans Google Chrome ou Mozilla Firefox depuis le 15 avril 2026.

La suppression des racines G1 a-t-elle une incidence sur mon environnement?

La plupart des clients DigiCert ont migré vers nos hiérarchies racines G2 et aucune action n’est requise. Vous êtes uniquement concerné si vous remplissez les critères suivants:

1. Vous disposez de certificats TLS actifs émis à partir d’une hiérarchie racine G1.
2. Vos certificats doivent être approuvés dans Google Chrome ou Mozilla Firefox.
    

Actions requises