Base de Connaissances

Fin de vie de l’utilisation des méthodes DCV basées sur WHOIS

Le CA/Browser Forum a récemment adopté le scrutin SC-80v3: fin de l’utilisation de WHOIS pour identifier les contacts de domaine et des méthodes DCV qui en dépendent. Afin de se conformer aux changements du secteur imposés par le scrutin, les autorités de certification (CA), telles que DigiCert, doivent cesser d’utiliser WHOIS pour identifier les contacts de domaine dans le cadre des méthodes de validation du contrôle de domaine (DCV) par e-mail, fax, SMS, courrier postal et téléphone. Notez que DigiCert prend uniquement en charge les méthodes DCV basées sur WHOIS par e-mail et par téléphone.

Pour plus d’informations sur ce changement du secteur, consultez Scrutin SC-80v3: fin de l’utilisation de WHOIS pour identifier les contacts de domaine et des méthodes DCV qui en dépendent ci-dessous.
 

Calendrier de DigiCert pour mettre fin à l’utilisation de WHOIS afin d’identifier les contacts de domaine et aux méthodes DCV basées sur WHOIS

Le calendrier de DigiCert garantit que nous mettons à jour notre processus de validation du contrôle de domaine afin de supprimer la prise en charge des méthodes DCV basées sur WHOIS et de cesser de réutiliser les validations de domaine existantes basées sur WHOIS avant les échéances spécifiées dans le scrutin SC-80v3.

• 8 janvier 2025
• 8 mai 2025
• 8 juillet 2025

Les modifications ci-dessous concernent toutes les validations de domaine DigiCert, notamment les types de certificats suivants: TLS, Verified Mark et Common Mark, Secure Email (S/MIME), DirectAssured et DirectTrust.
 

8 janvier 2025: fin de vie des recherches WHOIS basées sur le web via HTTPS et de la réutilisation des validations de domaine WHOIS basées sur le web

Le 8 janvier 2025, DigiCert a cessé:

• D’utiliser les recherches WHOIS basées sur le web via HTTPS 
  À compter du 8 janvier 2025, DigiCert ne peut plus utiliser les recherches WHOIS basées sur le web via HTTPS pour obtenir les coordonnées des contacts de domaine aux fins de la validation du contrôle de domaine.
  
  Contexte
  Pour les méthodes DCV basées sur WHOIS, DigiCert utilise le protocole WHOIS et interroge le serveur WHOIS de l’IANA, en suivant les redirections vers le serveur WHOIS approprié afin d’obtenir les coordonnées des contacts de domaine. Il arrive que la requête ne renvoie aucun résultat, par exemple, en raison des limites de fréquence des recherches WHOIS. Dans ce cas, un agent DigiCert peut effectuer une recherche WHOIS basée sur le web via HTTPS afin de trouver les coordonnées du contact de domaine et de permettre à la validation du domaine de se poursuivre.
  
  À compter du 8 janvier 2025, les agents de validation DigiCert ne peuvent plus effectuer manuellement de recherches WHOIS basées sur le web via HTTPS lorsque le protocole WHOIS ne parvient pas à récupérer les coordonnées du contact d’un domaine, ce qui rend les méthodes DCV basées sur WHOIS moins fiables.
  
  
• De réutiliser les validations de domaine existantes pour lesquelles DigiCert avait utilisé une recherche basée sur le web via HTTPS afin d’obtenir les coordonnées du contact d’un domaine 
  Depuis le 8 janvier 2025, DigiCert ne peut plus réutiliser les validations de domaine existantes pour lesquelles nous avons utilisé une recherche basée sur le web via HTTPS afin de recueillir les coordonnées du contact de domaine, même si les informations précédemment obtenues se trouvent encore dans la période de réutilisation autorisée de 397 jours.
   

Quelle est l’incidence sur mon environnement?

Si vous avez utilisé une méthode DCV basée sur WHOIS pour valider vos domaines et que la recherche WHOIS automatisée de DigiCert n’a pas réussi à récupérer l’adresse e-mail souhaitée, vous êtes probablement concerné.

Utilisez une autre méthode de validation ou une autre source d’adresse e-mail, telle qu’une adresse e-mail dans un enregistrement DNS TXT, lors de votre prochaine demande de certificat. Si vous dépendez de l’émission instantanée des certificats, revalidez vos domaines à l’avance.

DigiCert recommande de passer à une autre méthode DCV ou à une autre source d’adresse e-mail dès que possible. Consultez Méthodes DCV et processus de validation de domaine pris en charge par DigiCert et Références ci-dessous.

8 mai 2025: fin de vie des nouvelles validations de domaine basées sur WHOIS, quelle que soit la méthode de recherche WHOIS

À compter du 8 mai 2025, DigiCert ne prendra plus en charge les méthodes DCV basées sur WHOIS. Les systèmes DigiCert cesseront complètement d’interroger WHOIS pour les validations de domaine.
 

Quelle est l’incidence sur mon environnement?

Si vous utilisez la méthode DCV Email basée sur WHOIS, vous devez commencer à utiliser une autre méthode DCV. Pour continuer à utiliser la méthode DCV par e-mail, configurez un DNS TXT Email Contact ou une Constructed Email address. Consultez Méthodes DCV et processus de validation de domaine pris en charge par DigiCert et Références ci-dessous.

8 juillet 2025: fin de vie de la réutilisation des validations de domaine existantes basées sur WHOIS

À compter du 8 juillet 2025, DigiCert cessera de réutiliser les validations de domaine existantes basées sur WHOIS, même si les informations précédemment obtenues se trouvent encore dans la période de réutilisation autorisée de 397 jours et quelle que soit la méthode WHOIS utilisée.

Quelle est l’incidence sur mon environnement?

Si vous avez utilisé la méthode DCV Email basée sur WHOIS pour valider vos domaines, ces validations de domaine deviendront non valides le 8 juillet. Lors de votre prochaine demande de certificat pour l’un de ces domaines, vous devrez revalider le domaine à l’aide d’une autre méthode DCV. Pour continuer à utiliser la méthode DCV par e-mail, configurez un DNS TXT Email Contact ou une Constructed Email address.

Consultez Méthodes DCV et processus de validation de domaine pris en charge par DigiCert et Références ci-dessous.

Méthodes DCV et processus de validation de domaine pris en charge par DigiCert

Processus de validation de domaine pris en charge par DigiCert

• Démontrer le contrôle des domaines figurant dans les commandes de certificats
  Lorsque vous commandez un certificat, vous sélectionnez une méthode DCV afin de démontrer que vous contrôlez les domaines figurant dans la commande. Sur la page Order details du certificat, utilisez la méthode DCV sélectionnée lors du processus de commande pour effectuer la validation du domaine. Vous pouvez changer de méthode de validation si nécessaire.
• Effectuer la validation du domaine avant de commander un certificat
  DigiCert propose un processus de validation de domaine qui vous permet de valider vos domaines avant de commander des certificats. Effectuer la validation du domaine à l’avance permet d’accélérer l’émission des certificats.
   

Méthodes DCV prises en charge par DigiCert

• DNS TXT Record (DNS Change)
  Accédez à votre fournisseur DNS et créez un enregistrement TXT. Ajoutez une valeur aléatoire générée par DigiCert à l’enregistrement TXT du domaine. 
  
  Remarque: DigiCert recommande d’utiliser cette méthode DCV, car elle est moins vulnérable aux futures modifications des normes du secteur.
  
  
• Email
  • Email to DNS TXT contact
    DigiCert envoie un e-mail d’autorisation aux adresses e-mail figurant dans l’enregistrement DNS TXT du sous-domaine _validation-contactemail du domaine dont vous démontrez le contrôle.
  • Constructed Email
    DigiCert envoie l’e-mail d’autorisation à cinq adresses e-mail construites pour le domaine: admin, administrator, webmaster, hostmaster et postmaster @[domain_name].
     
• DNS CNAME Record
  Accédez à votre fournisseur DNS et créez un enregistrement CNAME. Dans le champ du nom d’hôte, saisissez _dnsauth. Ajoutez ensuite [random_value].dcv.digicert.com dans le champ de l’hôte cible afin de faire pointer l’enregistrement CNAME vers dcv.digicert.com.
  
  
• HTTP Practical Demonstration
  Hébergez un fichier contenant une valeur aléatoire générée par DigiCert à un emplacement prédéterminé sur votre site web: http://{domain-name}/.well-known/pki-validation/fileauth.txt.
  
  

Références

• Méthodes DCV prises en charge pour la prévalidation des domaines
  • Prévalidation des domaines: revalider votre domaine avant l’expiration de la validation
  • Prévalidation des domaines: revalidation groupée des domaines
• Méthodes DCV prises en charge pour valider les domaines figurant dans les commandes de certificats

Scrutin SC-80v3: fin de l’utilisation de WHOIS pour identifier les contacts de domaine et des méthodes DCV qui en dépendent

Le scrutin SC-80v3 comporte deux dates importantes:

• Le 15 janvier 2025, les CA doivent cesser de se fier aux coordonnées des contacts de domaine obtenues à l’aide de recherches WHOIS basées sur le web via HTTPS. DigiCert désigne ce type de recherche sous le nom de recherche WHOIS manuelle. Cette modification concerne les nouvelles validations de domaine basées sur WHOIS et les validations de domaine existantes encore dans leur période de réutilisation.
• Le 15 juillet 2025, les CA doivent cesser de se fier aux validations de domaine basées sur WHOIS, y compris celles obtenues à l’aide du protocole WHOIS, en interrogeant le serveur WHOIS de l’IANA et en suivant les redirections vers le serveur WHOIS approprié. Cette modification concerne les nouvelles validations de domaine basées sur WHOIS et les validations de domaine existantes encore dans leur période de réutilisation.

Ce scrutin n’affecte pas toutes les méthodes DCV par e-mail. Vous pouvez toujours utiliser les méthodes DCV Email to DNS TXT contact et Constructed Email si l’e-mail est votre méthode DCV préférée. Toutefois, DigiCert recommande d’utiliser l’une des méthodes DCV qui ne reposent pas sur l’e-mail, car le CA/Browser Forum continuera probablement à examiner de près les méthodes DCV par e-mail. Consultez Méthodes DCV et processus de validation de domaine pris en charge par DigiCert ci-dessus.

Contexte de la validation de domaine basée sur WHOIS

Presque tous les domaines disposent d’un enregistrement public répertoriant les coordonnées de leur propriétaire. Les autorités de certification (CA), telles que DigiCert, utilisent ces informations pour contacter le propriétaire du domaine afin d’obtenir l’autorisation d’émettre des certificats pour ce domaine. La validation de domaine basée sur WHOIS est la méthode la plus courante pour valider les domaines en vue de l’émission de certificats publics. Toutefois, elle est devenue peu fiable et les normes du secteur exigent que les CA utilisent des méthodes de validation de domaine plus strictes.

Bien que d’autres méthodes puissent nécessiter davantage de travail et de connaissances, par exemple la modification d’un enregistrement DNS, la configuration d’une adresse e-mail d’administrateur ou le placement d’un fichier HTTP sur votre serveur, elles offrent une sécurité et un niveau de confiance supérieurs pour vous et vos clients.

Besoin d’aide?

Si vous avez des questions ou des préoccupations concernant ce scrutin interdisant l’utilisation de WHOIS pour identifier les contacts de domaine, contactez immédiatement votre responsable de compte ou le support DigiCert - Contacter DigiCert.