Base de Connaissances

Description

Deux modifications de la politique de validation des domaines devraient entrer en vigueur avant la fin de 2021 et peuvent avoir une incidence sur la manière dont vous validez vos domaines pour les demandes de certificats. Ces modifications de politique s’appliquent à toutes les nouvelles demandes de certificats, aux renouvellements, aux réémissions et aux domaines prévalidés. Ces modifications n’affectent pas les certificats TLS/SSL déjà émis.

• La revalidation des domaines sera requise tous les 397 jours.
  DigiCert mettra en œuvre ces modifications entre le 27 et le 30 septembre 2021.
• La validation de domaine basée sur un fichier, également appelée file auth, http token ou http auth, ne sera plus autorisée pour les certificats Wildcard. Lorsqu’elle est utilisée pour des certificats non-Wildcard, la validation de domaine sera requise individuellement pour chaque SAN/nom de domaine complet (FQDN).
  DigiCert mettra en œuvre ces modifications le 16 novembre 2021.
• Ces modifications de politique concernent tous les certificats TLS/SSL publics.
   

Solution

Aucune action immédiate n’est requise. Toutefois, préparez-vous à:

• Effectuer la validation des domaines plus fréquemment.
  La validation des domaines expirera tous les 397 jours et perturbera les demandes de certificats, les renouvellements et les réémissions si les domaines ne sont pas revalidés.
• Vérifier vos domaines prévalidés avant le 27 septembre 2021.
  Les dates d’expiration des validations de domaine existantes seront ajustées entre le 27 et le 30 septembre 2021. Nous vous informerons à l’approche de cette date et vous fournirons un plan d’action. 
• Modifier votre méthode de validation de domaine pour les certificats/domaines Wildcard si vous utilisez la validation basée sur un fichier. Nous recommandons la méthode DCV Email to DNS TXT Contact aux utilisateurs qui préfèrent une valeur statique et une validation de domaine basée sur l’e-mail. 
• Apporter des modifications aux processus et/ou aux systèmes afin de valider individuellement chaque SAN/FQDN (y compris le SAN « free www. » inclus dans certains certificats) si vous souhaitez continuer à utiliser la validation basée sur un fichier pour les certificats non-Wildcard. Vous pouvez également passer aux méthodes de validation DNS ou Email pour valider les domaines de base (example.com) ou un espace de domaine complet.

En outre, afin de vous aider à limiter les perturbations du cycle de vie des certificats et à maintenir vos processus métier, nous travaillons sur de futures notifications, améliorations et ressources de formation.
En attendant, consultez les méthodes de validation du contrôle de domaine (DCV) actuelles pour découvrir les autres options de validation de domaine disponibles.
 

Modifications relatives à la réutilisation de la validation des domaines pendant 397 jours

Mozilla et le CA/B Forum réduisent la période de réutilisation de la validation des domaines à 398 jours. DigiCert mettra en œuvre une période de réutilisation de 397 jours afin de garantir une conformité totale.

Les clients qui gèrent des domaines prévalidés devront donc revalider leurs domaines environ tous les 13 mois.

DigiCert mettra en œuvre ces modifications entre le 27 et le 30 septembre 2021
 

Informations supplémentaires:

• Scrutin SC42 du CA/B Forum: période de réutilisation de 398 jours
• La Mozilla Root Store Policy 2.7.1 inclut la politique mise à jour de Mozilla relative à la réutilisation de la validation des domaines. Consultez la section 2.1, point 5.1.
• La validation des domaines EV est en grande partie inchangée, car les domaines figurant sur les certificats EV doivent déjà être revalidés tous les 13 mois. La période de réutilisation passe de 13 mois à 397 jours, soit un peu plus de 13 mois.
• La validation du nom de l’organisation n’est pas affectée et reste valide pendant 825 jours pour les certificats OV et 13 mois pour les certificats EV.
   

Modifications de la validation du contrôle de domaine (DCV) utilisant la validation basée sur un fichier

Le CA/B Forum a récemment voté sur un scrutin concernant la validation de domaine basée sur un fichier, également appelée file auth, http token, http auth ou méthodes 18 (3.2.2.4.18) et 19 (3.2.2.4.19) des exigences de base du CA/B Forum.

À compter du 16 novembre 2021, cette modification affectera l’utilisation de la méthode DCV basée sur un fichier comme suit: 

• Interdiction de cette méthode pour la validation des domaines figurant dans les certificats Wildcard.
• Obligation de valider individuellement chaque FQDN/SAN lorsque cette méthode est utilisée pour valider les domaines figurant dans des certificats non-Wildcard.

Remarque: Les méthodes DCV basées sur l’e-mail et le DNS ne sont pas affectées.
 

Illustration des prochaines modifications apportées à la validation basée sur un fichier

Actuellement, pour de nombreuses méthodes DCV, les exigences de base du CA/B Forum considèrent qu’un FQDN (par exemple, subdomain2.subdomain.example.com) ou un domaine Wildcard (par exemple, *.subdomain.example.com) est validé une fois que son domaine de base (par exemple, example.com) ou un autre nom de domaine supérieur (par exemple, subdomain.example.com) a été validé.

Toutefois, la modification de la politique exigera une validation distincte pour chaque FQDN/SAN lorsque la validation basée sur un fichier est utilisée, et la validation basée sur un fichier sera entièrement interdite pour les certificats Wildcard, car les noms de domaine Wildcard ne sont pas considérés comme des FQDN.

Notez que cette modification ne s’applique pas aux méthodes de validation basées sur l’e-mail et le DNS, qui peuvent toujours être utilisées pour les certificats Wildcard et peuvent être effectuées au niveau du domaine de base ou d’un autre domaine supérieur commun afin de valider les sous-domaines et les domaines Wildcard.

La modification de la politique devrait entrer en vigueur le 16 novembre 2021.

REMARQUE : Cet article indiquait précédemment que les modifications entreraient en vigueur le 15 novembre 2021. Afin de garantir un déploiement fluide et de permettre une révision supplémentaire du code, les modifications ont été reportées de 24 heures.