Base de Connaissances

Le 29 août 2023 à 10:00 MDT (16:00 UTC), DigiCert a apporté les modifications répertoriées ci-dessous à son processus d’émission de certificats Secure Email (S/MIME) publics afin de se conformer aux nouvelles exigences de base relatives à l’émission et à la gestion des certificats S/MIME publiquement approuvés du CA/Browser Forum.

Ces modifications s’appliquent à tous les certificats nouvellement émis contenant l’utilisation étendue de clé emailProtection et au moins une adresse e-mail. Si vous pouvez utiliser votre certificat pour signer, vérifier, chiffrer ou déchiffrer des e-mails, vos nouveaux certificats, ainsi que vos certificats réémis et renouvelés, seront concernés par ces nouvelles exigences du secteur à compter du 29 août 2023 à 10:00 MDT (16:00 UTC).

La DigiCert Certification Practice Statement (CPS) a été mise à jour afin de refléter les modifications que nous avons apportées pour nous conformer aux exigences de base relatives aux certificats S/MIME. Pour consulter notre CPS et d’autres documents de ce type, accédez au DigiCert Legal Repository.

Nouvelles exigences relatives aux certificats Secure Email (S/MIME) publics:

• Suppression des unités organisationnelles (OU).
  Le champ OU des certificats S/MIME permet de stocker des métadonnées facultatives dans un certificat. Toutefois, son utilisation prévue est limitée et l’inclusion d’une OU nécessite une validation supplémentaire. Afin de réduire la confusion autour de ce champ facultatif et d’améliorer les délais de validation, DigiCert le supprimera de ses certificats S/MIME publics.
  
• Nouvelles exigences de validation de l’organisation pour les certificats émis avec des informations sur l’organisation (validés par l’organisation et validés par le sponsor).
  Si votre certificat S/MIME contient des informations sur l’organisation, DigiCert doit revalider l’organisation (entité juridique) conformément aux nouvelles exigences de validation des organisations S/MIME décrites dans les Baseline Requirements for the Issuance and Management of Publicly-Trusted S/MIME Certificates.
• Nouvelles exigences de validation des domaines de messagerie pour les certificats émis avec des informations sur l’organisation (validés par l’organisation et validés par le sponsor).
  Si vos certificats S/MIME publics contiennent des informations sur l’organisation, ils peuvent uniquement contenir des adresses e-mail dont l’organisation peut démontrer qu’elle contrôle l’intégralité du domaine.
  Pour ces types de certificats S/MIME, vous ne pouvez plus ajouter à vos certificats des adresses Gmail (@gmail.com), Outlook (@outlook.com), Yahoo (yahoo.com) ou d’autres adresses e-mail similaires. Vous pouvez uniquement inclure une adresse e-mail dans votre certificat si vous avez effectué la validation du contrôle de domaine (DCV) pour le domaine de cette adresse.
• Nouvel Organization Identifier dans le SubjectDN pour les certificats S/MIME validés par l’organisation et validés par le sponsor.
• Nouveaux identifiants d’objet (OID) de politique de certificat S/MIME en fonction du type de certificat.
  Pour les certificats S/MIME publics, les autorités de certification (CA) doivent inclure l’OID de politique de certificat approprié conformément aux nouvelles exigences de base:
  • OID validé par boîte aux lettres: 2.23.140.1.5.1.1 - Certificats S/MIME pour les particuliers
  • OID validé par l’organisation: 2.23.140.1.5.2.1 - Certificat S/MIME pour une organisation
  • OID validé par le sponsor: 2.23.140.1.5.3.1 - Certificat S/MIME permettant à une organisation d’émettre des certificats pour les personnes qu’elle sponsorise
• Suppression des OID DigiCert suivants, qui sont remplacés par les nouveaux OID de politique de certificat S/MIME:
  • 2.16.840.1.114412.4.1.1
  • 2.16.840.1.114412.4.1.2
  • 2.16.840.1.114412.4.2
  • 2.16.840.1.114412.4.3

Nouveaux certificats d’autorité de certification intermédiaire à venir en 2024

Les nouvelles exigences de base relatives aux certificats S/MIME affectent également les certificats d’autorité de certification intermédiaire (ICA) utilisés pour émettre les certificats S/MIME. Toutefois, afin de limiter l’incidence des nouvelles exigences, le secteur (CA/Browser Forum) autorise les autorités de certification à continuer d’utiliser le certificat ICA actuel pour émettre de nouveaux certificats S/MIME pendant un an.

Le 26 juin 2024, DigiCert a commencé à transférer l’émission par défaut des certificats Secure Email (S/MIME) publics vers de nouveaux certificats d’autorité de certification intermédiaire (ICA) publics conformes aux normes du secteur. D’ici le 3 septembre 2024, DigiCert doit transférer toutes ses émissions de certificats S/MIME vers de nouveaux certificats d’autorité de certification intermédiaire conformes aux normes du secteur.

Pour plus d’informations sur les nouveaux certificats d’autorité de certification intermédiaire S/MIME conformes aux normes du secteur et pour consulter le calendrier de cette modification, consultez notre article Nouveaux certificats d’autorité de certification intermédiaire Secure Email (S/MIME) en 2024.
 

Quelle est l’incidence des nouvelles exigences du secteur sur mes certificats Secure Email (S/MIME) publics?

Certificats S/MIME nouvellement émis

À compter du 29 août 2023 à 10:00 MDT (16:00 UTC), tous les certificats S/MIME nouvellement émis, notamment les nouveaux certificats, les certificats réémis et les certificats renouvelés, doivent être conformes aux nouvelles Baseline Requirements for the Issuance and Management of Publicly-Trusted S/MIME Certificates du CA/Browser Forum. 

Ces modifications s’appliquent à tous les certificats nouvellement émis contenant l’utilisation étendue de clé emailProtection et au moins une adresse e-mail. Si vous pouvez utiliser votre certificat pour signer, vérifier, chiffrer ou déchiffrer des e-mails, vos nouveaux certificats, ainsi que vos certificats réémis et renouvelés, seront concernés par ces nouvelles exigences du secteur.

Certificats S/MIME existants

Les modifications du secteur n’affectent pas les certificats S/MIME émis avant le 29 août 2023 à 10:00 MDT (16:00 UTC). Vous pouvez continuer à utiliser ces certificats existants jusqu’à leur expiration. 

N’oubliez pas que les remplacements et les renouvellements de vos certificats seront concernés par les modifications apportées aux certificats S/MIME par le secteur.

Que puis-je faire?

Obtenir les certificats Secure Email S/MIME nécessaires avant le 29 août 2023

Si vous avez prévu des renouvellements, des réémissions ou de nouvelles commandes de certificats S/MIME pour la fin du mois d’août et le mois de septembre, effectuez ces opérations liées aux certificats plus tôt, avant le 29 août. Ainsi, l’émission de vos certificats S/MIME restera inchangée, ce qui permettra d’éviter les éventuelles surprises liées aux modifications apportées aux profils de certificats et au processus de validation. Les certificats émis avant le 29 août 2023 peuvent toujours contenir les informations relatives à l’unité organisationnelle et les adresses validées par e-mail, selon les besoins.

Passer aux certificats Secure Email (S/MIME) privés

DigiCert recommande de passer à des certificats S/MIME approuvés de manière privée si la confiance publique n’est pas requise. Les règles relatives aux certificats S/MIME publics ne s’appliquent pas aux certificats S/MIME approuvés localement. Contactez votre responsable de compte ou le support DigiCert pour en savoir plus sur les certificats DigiCert Private Secure Email (S/MIME).

Modifications spécifiques aux plateformes

L’un des avantages des nouvelles exigences de base relatives aux certificats S/MIME est qu’elles permettront de normaliser les certificats S/MIME publics pour toutes les autorités de certification et, plus particulièrement, pour toutes les plateformes DigiCert.

Découvrez les modifications apportées à votre plateforme et les mesures à prendre pour vous préparer aux modifications du processus d’émission des certificats Secure Email (S/MIME) publics de DigiCert qui entreront en vigueur le 29 août 2023 à 10:00 MDT (16:00 UTC):

• CertCentral: mises à jour du processus d’émission des certificats S/MIME
• TrustLink Enterprise: mises à jour du processus d’émission des certificats S/MIME
• PKI Platform 8: mises à jour du processus d’émission des certificats S/MIME
• Trust Lifecycle Manager: mises à jour du processus d’émission des certificats S/MIME

CertCentral: mises à jour du processus d’émission des certificats S/MIME

Le 29 août 2023 à 10:00 MDT (16:00 UTC), CertCentral modifiera son processus d’émission des certificats S/MIME afin de s’aligner sur les nouvelles Baseline Requirements for the Issuance and Management of Publicly‐Trusted S/MIME Certificates.

CertCentral propose actuellement les certificats liés à S/MIME suivants, qui sont concernés par les nouvelles exigences de base Secure Email (S/MIME):

• Digital Signature Plus
• Email Security Plus
• Premium
• Class 1 S/MIME

D’ici le 29 août 2023, CertCentral modifiera ses offres actuelles afin de les aligner sur trois nouveaux types de certificats S/MIME conformes aux normes du secteur:

• Validé par boîte aux lettres – Certificats Secure Email (S/MIME) pour les particuliers
• Validé par l’organisation – Certificats Secure Email (S/MIME) pour les organisations
• Validé par le sponsor – Certificats Secure Email (S/MIME) qu’une organisation peut émettre pour les personnes qu’elle sponsorise

DigiCert évalue la possibilité de proposer des certificats Secure Email (S/MIME) validés pour les particuliers en fonction de la demande des clients. Contactez votre responsable de compte si vous êtes intéressé par des certificats S/MIME émis pour des particuliers.

Quelle est l’incidence sur mes commandes de certificats Secure Email (S/MIME) en attente?

Le 29 août, nous annulerons les commandes en attente soumises avant le 29 août 2023 à 10:00 MDT (16:00 UTC). Ces demandes ne respectent pas les nouvelles exigences du secteur et ne peuvent pas être émises.

Pour obtenir votre certificat S/MIME annulé, soumettez à nouveau la demande. N’oubliez pas que votre nouveau certificat S/MIME respectera les nouvelles directives du secteur, notamment la suppression de l’unité organisationnelle.

Points à prendre en compte:

• Pour les certificats S/MIME validés par l’organisation et validés par le sponsor, DigiCert doit valider l’organisation incluse dans le certificat conformément aux exigences S/MIME avant de pouvoir émettre le certificat. La validation de l’organisation est valide pendant 825 jours.
  Les nouveaux formulaires de demande de certificat incluront un processus permettant d’effectuer la validation requise de l’organisation dans le cadre du processus d’émission du certificat. Vous n’avez pas besoin de soumettre séparément les informations de l’organisation pour une prévalidation.
• Les unités organisationnelles (OU) ne sont plus prises en charge dans les certificats S/MIME publics.
  Cette modification n’affecte pas vos certificats S/MIME existants qui incluent une OU. Elle s’applique aux réémissions, aux renouvellements de clé et aux modifications de certificats effectuées après la mise à jour de notre processus le 29 août 2023.
  
• Les certificats validés par l’organisation et validés par le sponsor peuvent uniquement contenir des adresses e-mail dont le domaine est contrôlé par l’organisation. Cela limite l’utilisation des certificats validés par le sponsor avec des services de messagerie tels que gmail.com, outlook.com ou des adresses e-mail similaires.
  
• Pour obtenir un certificat S/MIME avec une adresse e-mail partagée telle que gmail.com ou hotmail.com, vous devez commander un certificat S/MIME validé par boîte aux lettres.
• Nous inclurons la Certificate Policy appropriée conformément aux nouvelles exigences de base S/MIME.
  • Validé par boîte aux lettres: 2.23.140.1.5.1.1
  • Validé par l’organisation: 2.23.140.1.5.2.1
  • Validé par le sponsor: 2.23.140.1.5.3.1
     

CertCentral Services API

Le 29 août 2023 à 10:00 MDT (16:00 UTC), nous remapperons les intégrations API existantes afin d’émettre les nouveaux certificats S/MIME conformes aux normes du secteur sans nécessiter de mise à jour des intégrations de certificats S/MIME existantes. Ces modifications ne nécessitent aucune mise à jour de vos intégrations API.

Certificats S/MIME validés par boîte aux lettres

Pour émettre des certificats S/MIME validés par boîte aux lettres conformes aux normes du secteur, nous procéderons comme suit:

• Supprimer tous les champs Subject Distinguished Name (SubjectDN) non pris en charge avant de signer le certificat. Notez que seuls un nom commun et une adresse e-mail sont autorisés.
• Le nom commun doit être une adresse e-mail et correspondre à l’adresse indiquée dans SubjectDN:Email et SAN:Name (si présent).
• Inclure l’OID Certificate Policy approprié: 2.23.140.1.5.1.1
• Envoyer un challenge par e-mail au destinataire afin de valider la boîte aux lettres avant d’émettre le certificat.

Certificats S/MIME validés par l’organisation et validés par le sponsor

Pour émettre des certificats S/MIME validés par l’organisation et validés par le sponsor conformes aux normes du secteur, nous procéderons comme suit:

• Soumettre l’organisation à la validation pour les certificats S/MIME si nécessaire.
• Les unités organisationnelles (OU) ne sont plus prises en charge. Si Subject DN:OU est inclus dans la demande de certificat, nous ignorerons cette valeur et émettrons le certificat sans celle-ci.
• Inclure un nouvel Organization Identifier dans le SubjectDN avec votre Org ID client validé.
• Inclure l’OID Certificate Policy approprié:
  • Validé par l’organisation: 2.23.140.1.5.2.1
  • Validé par le sponsor: 2.23.140.1.5.3.1
• Nous pouvons uniquement émettre le certificat si vous avez effectué la validation du contrôle de domaine (DCV) pour les domaines de messagerie inclus dans le certificat.

Améliorations du workflow CertCentral Services API pour la gestion des certificats Secure Email (S/MIME)

Dans le cadre de la mise à jour de nos systèmes afin de respecter les nouvelles exigences de base Secure Email (S/MIME), nous devrons mettre à jour les workflows Services API pour la gestion des certificats S/MIME dans CertCentral:

• Nouveaux points de terminaison de demande de certificats Secure Email (S/MIME)
  
  DigiCert proposera trois nouveaux types de certificats Secure Email (S/MIME):
  • Individual Secure Email
  • Organization Secure Email
  • Organization-sponsored Secure Email
     
• Nouveau type de validation S/MIME Organization Validation pour les certificats S/MIME d’organisation et sponsorisés par une organisation
  
  Pour les certificats Secure Email (S/MIME) d’organisation et sponsorisés par une organisation, DigiCert doit valider l’organisation incluse dans les certificats S/MIME avant de pouvoir émettre le certificat.
  
  Ce nouveau type de validation S/MIME Organization Validation remplacera Normal Organization Validation dans les workflows de validation des organisations pour l’émission de certificats S/MIME.

Consultez Services API updates for client certificate workflows dans notre portail développeur pour obtenir des informations plus détaillées sur les modifications apportées à l’API. Veillez à enregistrer cette page et à la consulter régulièrement, car nous mettrons cet article à jour à mesure que de nouvelles informations seront disponibles.

TrustLink Enterprise: mises à jour du processus d’émission des certificats S/MIME

À compter du 29 août 2023 à 10:00 MDT (16:00 UTC), vous ne pouvez plus obtenir vos certificats S/MIME depuis TrustLink Enterprise. Toutefois, vous pouvez continuer à consulter et, si nécessaire, à révoquer vos certificats S/MIME existants depuis votre compte TrustLink Enterprise jusqu’à leur expiration.

Pour modifier, renouveler ou obtenir de nouveaux certificats S/MIME, vous devez passer à un compte CertCentral EU. Une fois que vous avez configuré votre nouveau compte et que les nouveaux certificats S/MIME sont disponibles, vous pouvez commencer à commander ces certificats ainsi que d’autres types de certificats (tels que TLS et Code Signing).

Utilisez-vous un service de passerelle?

Si vous utilisez un service de passerelle, vous devez également configurer un compte Trust Lifecycle Manager comme suit:

1. Contactez votre responsable de compte DigiCert ou votre ingénieur commercial pour vous aider à configurer votre compte Trust Lifecycle Manager.
2. Une fois le compte configuré, créez un profil à partir du nouveau modèle Trust Lifecycle Manager.
   1. Après avoir enregistré le nouveau profil, une URL unique Certificate Management Protocol (CMP) est générée.
   2. Collez ce lien dans votre logiciel de passerelle de messagerie.
3. Attribuez des User Seats à la Business Unit par défaut dans votre compte Trust Lifecycle Manager.
4. Créez un CertCentral CA Connector, qui permettra à Trust Lifecycle Manager d’accéder à votre compte CertCentral pour l’émission de certificats S/MIME publics. 

Points à prendre en compte concernant le nouveau processus de certificats S/MIME:

• DigiCert doit valider l’organisation incluse dans le certificat conformément aux exigences S/MIME avant de pouvoir émettre le certificat S/MIME. 
  La validation de l’organisation est valide pendant 825 jours. DigiCert peut effectuer la validation de l’organisation lorsque vous demandez un certificat dans CertCentral Europe, dans le cadre du processus d’émission du certificat.
• Les certificats validés par l’organisation et validés par le sponsor peuvent uniquement contenir des adresses e-mail dont vous pouvez démontrer le contrôle du domaine (c’est-à-dire qu’ils ne peuvent pas inclure une adresse gmail.com, outlook.com ou similaire).
• Pour obtenir un certificat S/MIME avec une adresse e-mail partagée telle que gmail.com ou outlook.com, vous devez commander un certificat S/MIME validé par boîte aux lettres.
• Les unités organisationnelles (OU) ne sont plus prises en charge dans les certificats S/MIME publics.
• Votre certificat S/MIME doit comporter une adresse e-mail dans le champ SAN:Name.
• Nous inclurons l’OID Certificate Policy approprié conformément aux nouvelles exigences de base S/MIME:
  • Validé par boîte aux lettres: 2.23.140.1.5.1.1
  • Validé par l’organisation: 2.23.140.1.5.2.1
  • Validé par le sponsor: 2.23.140.1.5.3.1
• Vos certificats S/MIME seront émis à partir d’une hiérarchie de certificats d’autorité de certification intermédiaire différente de celle de TrustLink Enterprise.

PKI Platform 8: mises à jour du processus d’émission des certificats S/MIME

Le 29 août 2023 à 10:00 MDT (16:00 UTC), PKI Platform 8 modifiera son processus d’émission des certificats S/MIME afin de s’aligner sur les nouvelles Baseline Requirements for the Issuance and Management of Publicly-Trusted S/MIME Certificates.

Le backend de PKI Platform 8 vérifiera si la demande de certificat S/MIME contient un domaine de messagerie validé. En fonction de cette vérification, nous émettrons le type de certificat approprié: un certificat S/MIME validé par boîte aux lettres, un certificat S/MIME validé par l’organisation ou un certificat S/MIME validé par le sponsor.

Certificats S/MIME validés par boîte aux lettres

Les modifications apportées aux certificats S/MIME validés par boîte aux lettres concernent les modèles suivants:

• Secure Email
• S/MIME (Digital Signature only)
• S/MIME (Encryption only)

Pour émettre des certificats S/MIME validés par boîte aux lettres conformes aux normes du secteur, nous procéderons comme suit:

• Supprimer tous les champs Subject Distinguished Name (SubjectDN) non pris en charge avant de signer le certificat. Notez que seuls un nom commun et une adresse e-mail sont autorisés.
  • Le nom commun doit être une adresse e-mail et correspondre à l’adresse indiquée dans les champs SubjectDN:Email et SAN:rfc822Name, s’ils sont présents.
  •  SubjectDN:Email
    Si SubjectDN:Email est différent de la valeur SAN:rfc822Name, nous copierons automatiquement la valeur SAN dans SubjectDN:Email.
    Toute valeur d’adresse e-mail rencontrée dans SubjectDN:Email doit être copiée dans la valeur SAN:rfc822Name. Notez que nous ne prenons en charge qu’une seule adresse e-mail dans SAN:rfc822Name. 
    • New requests
      Nous remplacerons les valeurs des champs SubjectDN par la valeur SAN:rfc822Name si la valeur est au format e-mail et diffère de SAN:rfc822Name, à condition que le domaine de messagerie ait été validé.
    • Renewal requests
      Si l’un des champs SubjectDN contient une adresse e-mail différente de SAN:rfc822Name, nous rejetterons la demande.
• Les demandes doivent contenir une valeur Country ISO-3116-1 alpha-2. Les codes pays valides à deux lettres doivent être en majuscules.
  Consultez Country Codes Collection (iso.org).
  • Si une nouvelle demande contient un pays valide en minuscules, nous le convertirons en majuscules afin de garantir la conformité.
  • Si une demande de renouvellement contient des codes pays en minuscules (non capitalisés), nous la rejetterons.
• Les demandes ne doivent contenir le mot “test” (en majuscules ou en minuscules) dans aucun champ SubjectDN.
  Si une nouvelle demande ou une demande de renouvellement contient le mot “test” (en majuscules ou en minuscules) dans l’un des champs SubjectDN, nous la rejetterons.
• Inclure l’OID Certificate Policy approprié: 2.23.140.1.5.1.1
• Envoyer un challenge par e-mail contenant un lien que le destinataire doit suivre afin de valider la boîte aux lettres avant l’émission du certificat.
  • Les liens sont valides UNIQUEMENT pendant 24 heures.
  • Si vous n’obtenez pas votre certificat dans les 24 heures, votre lien doit être réinitialisé.
• Mettre à jour l’assistant de profil afin d’avertir les utilisateurs des modifications mentionnées ci-dessus. 

Certificats S/MIME validés par le sponsor et validés par l’organisation

Les modifications S/MIME concernent les modèles suivants:

• Validés par le sponsor:
  • Secure Email
  • S/MIME (Digital Signature only)
  • S/MIME (Encryption only)
  • S/MIME (Digital Signature only) for Intune
• Validés par l’organisation:
  • Secure Email Gateway

Pour émettre des certificats S/MIME validés par le sponsor conformes aux normes du secteur, nous procéderons comme suit:

• Continuer à prendre en charge les champs Subject Distinguished Name (SubjectDN) existants basés sur l’emplacement (par exemple, Country, State, Locality, Street address).
  S’ils sont présents dans le profil, leur valeur doit provenir des informations validées de l’organisation.
• Continuer à prendre en charge les champs SubjectDN existants ajoutés aux détails du certificat.
  L’organisation est responsable de la vérification de ces informations, qui comprennent des champs tels que given name, last name, pseudonym, job title, unique identifier et user ID.
• Les unités organisationnelles (OU) ne sont plus prises en charge.
  Si Subject DN:OU est inclus dans la demande de certificat ou dans le profil en tant que valeur fixe, nous ignorerons cette valeur et émettrons le certificat sans celle-ci, même si elle est configurée dans votre profil de certificat.
• SubjectDN:Email
  Si SubjectDN:Email est différent de la valeur SAN:rfc822Name, nous copierons automatiquement la valeur SAN dans SubjectDN:Email.
  Toute valeur d’adresse e-mail rencontrée dans SubjectDN:Email doit être copiée dans la valeur SAN:rfc822Name. Notez que nous ne prenons en charge qu’une seule adresse e-mail dans SAN:rfc822Name.
  • New requests
    Nous remplacerons les valeurs des champs SubjectDN par la valeur SAN:rfc822Name si la valeur est au format e-mail et diffère de SAN:rfc822Name, à condition que le domaine de messagerie ait été validé.
  • Renewal requests
    Si l’un des champs SubjectDN contient une adresse e-mail différente de SAN:rfc822Name, nous rejetterons la demande.
• Les demandes doivent contenir une valeur Country ISO-3116-1 alpha-2. Les codes pays valides à deux lettres doivent être en majuscules. Consultez Country Codes Collection (iso.org).
  • Si une nouvelle demande contient un pays valide en minuscules, nous le convertirons en majuscules afin de garantir la conformité.
  • Si une demande de renouvellement contient des codes pays en minuscules (non capitalisés), nous la rejetterons.
• Les demandes ne doivent contenir le mot “test” (en majuscules ou en minuscules) dans aucun champ SubjectDN.
  Si une nouvelle demande ou une demande de renouvellement contient le mot “test” (en majuscules ou en minuscules) dans l’un des champs SubjectDN, nous la rejetterons.
• Si un champ Pseudonym est configuré dans le profil et qu’une demande est soumise avec ce champ:
  • Le Pseudonym DOIT être unique pour le User seat auquel le certificat est émis. Les valeurs en double sont autorisées pour le même Seat ID. Si la même valeur est rencontrée pour une demande associée à un autre Seat ID dans le compte, nous renverrons une erreur.
  • La demande NE DOIT PAS inclure les champs Given Name et Surname. Si Pseudonym est présent et que la demande inclut Given Name ou Surname, nous renverrons une erreur.
• Inclure un nouvel Organization Identifier dans le SubjectDN avec votre Org ID client validé.

  DigiCert revalide toutes les organisations et obtient leur valeur Organization Identifier afin de l’inclure automatiquement dans le certificat signé. Si des erreurs de validation vous empêchent de poursuivre, contactez le support DigiCert.

• Inclure l’OID Certificate Policy approprié:
  • Validé par le sponsor: 2.23.140.1.5.3.1
  • Validé par l’organisation: 2.23.140.1.5.2.1
• Si votre profil Public S/MIME inclut un Enrollment Code, nous respecterons la durée de validité du Enrollment Code pour les certificats S/MIME validés par le sponsor pour lesquels vous avez effectué la validation du contrôle de domaine (DCV) du domaine de messagerie.

Renouvellements de certificats

Votre processus de renouvellement des certificats restera inchangé pour toutes les interfaces S/MIME, par exemple les workflows web (OS/Browser, CSR, DigiCert Desktop Client) et les workflows automatisés (PKI Client / Enterprise Gateway, API).

Toutefois, conformément aux nouvelles S/MIME Baseline Requirements, vos certificats renouvelés contiendront le Subject DN et les OID Certificate Policy appropriés en fonction du type de certificat renouvelé: validé par boîte aux lettres ou validé par le sponsor.

Intégrations API PKI Platform 8

Mettez à jour votre intégration API afin de vous assurer que votre application respecte les restrictions de profil appropriées pour satisfaire aux nouvelles exigences de base S/MIME. Notez que si une demande API contient des champs non pris en charge pour un type de certificat validé par le sponsor (par exemple, Organization Unit), nous ignorerons ces champs et continuerons à signer le type de certificat approprié (avec son OID Certificate Policy).
 

Validation du domaine de messagerie

• Les workflows automatisés de PKI Platform, notamment SOAP/REST API, vérifient les domaines de messagerie des demandes de certificats S/MIME publics par rapport à une liste d’autorisation contenant les domaines de messagerie prévalidés.
• Le workflow automatisé ou l’API renverra une erreur si le domaine de messagerie n’a pas été prévalidé.
• DigiCert ne peut pas émettre de certificat S/MIME validé par boîte aux lettres soumis via l’API ou des workflows automatisés (par exemple, MS Autoenrollment, SCEP, etc.).

Trust Lifecycle Manager: mises à jour du processus d’émission des certificats S/MIME

Le 29 août 2023 à 10:00 MDT (16:00 UTC), Trust Lifecycle Manager modifiera son processus d’émission des certificats S/MIME afin de s’aligner sur les nouvelles Baseline Requirements for the Issuance and Management of Publicly‐Trusted S/MIME Certificates.

Trust Lifecycle Manager s’appuie sur PKI Platform 8 pour émettre ses certificats S/MIME publics. Par conséquent, PKI Platform 8 vérifiera si la demande de certificat S/MIME soumise via Trust Lifecycle Manager contient un domaine de messagerie validé. Trust Lifecycle Manager prend actuellement en charge les types de certificats validés par le sponsor.
 

Certificats S/MIME validés par le sponsor

Les modifications S/MIME concernent le modèle 'Public S/MIME Secure Email (via PKI Platform 8)'. Ce modèle de messagerie prend uniquement en charge le type de certificat S/MIME validé par le sponsor.

Pour émettre des certificats S/MIME validés par le sponsor conformes aux normes du secteur pour Trust Lifecycle Manager, PKI Platform 8 procédera comme suit:

• Continuer à prendre en charge les champs Subject Distinguished Name (SubjectDN) existants basés sur l’emplacement (par exemple, Country, State, Locality, Street address). 
  S’ils sont présents dans le profil, leur valeur proviendra des informations validées de l’organisation et sera insérée telle quelle dans le certificat signé.
• Continuer à prendre en charge les champs SubjectDN existants ajoutés aux détails du certificat. 
  L’organisation est responsable de la vérification de ces informations, qui comprennent des champs tels que given name, last name, pseudonym, job title, unique identifier et user ID.
• Les unités organisationnelles (OU) ne sont plus prises en charge. 
  Si Subject DN:OU est inclus dans la demande de certificat ou dans le profil en tant que valeur fixe, nous ignorerons cette valeur et émettrons le certificat sans celle-ci, même si elle est configurée dans votre profil de certificat.
• SubjectDN:Email
  Si SubjectDN:Email est différent de la valeur SAN:rfc822name, nous copierons automatiquement la valeur SAN dans SubjectDN:Email.
  Toute valeur d’adresse e-mail rencontrée dans SubjectDN:Email doit être copiée dans la valeur SAN:rfc822Name. Notez que nous ne prenons en charge qu’une seule adresse e-mail dans SAN:rfc822Name.
  • New requests
    Nous remplacerons les valeurs des champs SubjectDN par la valeur SAN:rfc822Name si la valeur est au format e-mail et diffère de SAN:rfc822Name, à condition que le domaine de messagerie ait été validé.
  • Renewal requests
    Si l’un des champs SubjectDN contient une adresse e-mail différente de SAN:rfc822Name, nous rejetterons la demande.
• Les demandes doivent contenir une valeur Country ISO-3116-1 alpha-2. Les codes pays valides à deux lettres doivent être en majuscules. Consultez Country Codes Collection (iso.org).
  
• • Si une nouvelle demande contient un pays valide en minuscules, nous le convertirons en majuscules afin de garantir la conformité.
  • Si une demande de renouvellement contient des codes pays en minuscules (non capitalisés), nous la rejetterons.
• Les demandes ne doivent contenir le mot “test” (en majuscules ou en minuscules) dans aucun champ SubjectDN.
  Si une nouvelle demande ou une demande de renouvellement contient le mot “test” (en majuscules ou en minuscules) dans l’un des champs SubjectDN, nous la rejetterons.
• Inclure un nouvel Organization Identifier dans le SubjectDN avec votre Org ID client validé.

  DigiCert revalide toutes les organisations et obtient leur valeur Organization Identifier afin de l’inclure automatiquement dans le certificat signé. Si des erreurs de validation vous empêchent de poursuivre, contactez le support DigiCert.

• Inclure l’OID Certificate Policy approprié dans vos certificats validés par le sponsor: 2.23.140.1.5.3.1
• Si votre profil Public S/MIME inclut un Enrollment Code, nous respecterons la durée de validité du Enrollment Code pour les certificats S/MIME validés par le sponsor pour lesquels vous avez effectué la validation du contrôle de domaine (DCV) du domaine de messagerie.

Renouvellements de certificats

Votre processus de renouvellement des certificats restera inchangé pour toutes les interfaces S/MIME, par exemple les workflows web (Browser PKCS12, CSR, DigiCert Trust Assistant) et les workflows automatisés via REST API.

Toutefois, conformément aux nouvelles S/MIME Baseline Requirements, vos certificats renouvelés contiendront le Subject DN et les OID Certificate Policy appropriés en fonction du type de certificat renouvelé: validé par le sponsor.

Intégrations API Trust Lifecycle Manager

Mettez à jour votre intégration API afin de vous assurer que votre application respecte les restrictions de profil appropriées pour satisfaire aux nouvelles exigences de base S/MIME. Notez que si une demande API contient des champs non pris en charge pour un type de certificat validé par le sponsor (par exemple, Organization Unit), nous ignorerons ces champs et continuerons à signer le type de certificat approprié (avec son OID Certificate Policy).

Validation du domaine de messagerie

Les workflows automatisés de Trust Lifecycle, notamment REST API, vérifient les domaines de messagerie des demandes de certificats S/MIME publics par rapport à une liste d’autorisation contenant les domaines de messagerie prévalidés.

• L’API renverra une erreur si le domaine de messagerie n’a pas été prévalidé.
• DigiCert ne peut pas émettre de certificat S/MIME validé par boîte aux lettres soumis via l’API.