Base de Connaissances

Ce qui change

Entre le 19 octobre et le 30 novembre 2026: DigiCert augmentera jusqu’à six le nombre d’agents MPIC distants uniques par requête de domaine (contre quatre agents uniques actuellement).

1er décembre 2026:
DigiCert appliquera la prochaine phase des exigences MPIC du CA/Browser Forum et utilisera six perspectives réseau distantes réparties sur au moins deux régions de registre Internet régional (RIR). Cette mise en application aura lieu avant l’échéance du 15 décembre 2026. Consultez Exigences de corroboration du CA/Browser Forum ci-dessous.
 

Incidence

MPIC vérifie le contrôle des domaines et effectue des vérifications CAA depuis plusieurs emplacements réseau distants. La validation du domaine ou l’émission du certificat peut échouer dans les cas suivants:

• Les réponses DNS utilisées pour la validation du domaine ne sont pas cohérentes entre les serveurs de noms faisant autorité.
• Les résultats de validation HTTP diffèrent selon les emplacements réseau.
• Des contrôles réseau, tels que des listes d’autorisation, des restrictions régionales ou des limites de requêtes DNS, empêchent les agents MPIC d’accéder à votre site web ou à votre infrastructure DNS.
• Les réponses des enregistrements DNS CAA ne sont pas cohérentes entre les différents emplacements réseau.
   

Dans cet article

• Que devez-vous faire?
  • Mettre à jour vos listes d’autorisation
  • Vérifier les réponses des enregistrements DNS
  • Résoudre les problèmes de validation MPIC
• Qu’est-ce que la corroboration?
• Fonctionnement de MPIC
• Exigences de corroboration du CA/Browser Forum
   

Que devez-vous faire?

Vérifiez si votre environnement comporte des contrôles susceptibles de restreindre le trafic MPIC. Si vous n’utilisez pas de contrôles réseau limitant les requêtes DNS ou le trafic du site web, aucune action n’est requise.
 

Mettre à jour vos listes d’autorisation

Si vous limitez les requêtes DNS ou le trafic du site web en fonction de l’adresse IP, de la région, du volume de requêtes ou du débit, vérifiez votre configuration afin de vous assurer qu’elle ne bloque pas le trafic MPIC.

Ces contrôles réseau peuvent affecter:

• Vérifications CAA: pour effectuer la vérification CAA afin que DigiCert puisse émettre votre certificat, les agents MPIC doivent recevoir des réponses cohérentes aux enregistrements CAA de la part de vos serveurs de noms DNS pour chaque domaine figurant dans votre certificat.
• Méthodes DCV basées sur le DNS: pour effectuer la validation du domaine, les agents MPIC doivent recevoir des réponses cohérentes correspondant à la méthode DCV de la part de vos serveurs de noms DNS.
• Validation HTTP Practical Demonstration: pour effectuer la validation du domaine, les agents MPIC doivent pouvoir accéder à votre site web où se trouve le fichier de validation du domaine et recevoir des réponses cohérentes.
   

Validation HTTP Practical Demonstration

Si vous utilisez les méthodes DCV HTTP Practical Demonstration et limitez le trafic de votre site web, effectuez l’une des opérations suivantes:

• Chaînes User-Agent DigiCert (recommandé): ajoutez DigiCert DCV/1.1 et DigiCert DCV Bot/1.1 à votre liste d’autorisation.
  (Remarque: User Agent est un en-tête de requête qui identifie le logiciel DigiCert effectuant les recherches DCV HTTP Practical Demonstration sur le site web.)
• Adresses IP des agents MPIC: ajoutez toutes les adresses IP des agents MPIC à votre liste d’autorisation.
   

Validation basée sur le DNS et vérifications CAA

Si votre infrastructure DNS limite les requêtes en fonction de l’adresse IP, autorisez toutes les adresses IP des agents MPIC.
Le tableau suivant répertorie les adresses IP des agents MPIC et la date à laquelle chaque adresse IP devient active.
 

Tableau 1: adresses IP des agents MPIC

Vérifier les réponses des enregistrements DNS

Vérifiez que vos enregistrements DNS sont accessibles et renvoient des réponses cohérentes depuis plusieurs emplacements réseau.
Vérifiez les éléments suivants:

• Enregistrements DNS CAA
• Enregistrements DNS TXT
• Enregistrements DNS CNAME
• Enregistrements DNS utilisés pour Email to DNS TXT contact
• Enregistrements DNS CAA utilisés pour Email to CAA contact

Vérifiez également que:

• Tous les serveurs de noms faisant autorité renvoient des réponses cohérentes. En savoir plus sur les serveurs de noms faisant autorité.
• La propagation DNS est terminée.
• Les valeurs TTL permettent une propagation dans les délais requis. En savoir plus sur la durée de vie (TTL).
• Les limites de requêtes DNS ou les restrictions régionales n’empêchent pas MPIC d’accéder à votre infrastructure DNS.
   

Résoudre les problèmes de validation MPIC

Si la validation du domaine ou l’émission du certificat échoue:

1. Vérifiez que les listes d’autorisation ou les restrictions régionales ne bloquent pas les requêtes MPIC.
2. Vérifiez que les limites de requêtes DNS n’empêchent pas les recherches MPIC.
3. Vérifiez que les serveurs de noms faisant autorité renvoient des réponses DNS cohérentes.
4. Vérifiez que les fichiers de validation HTTP sont accessibles depuis plusieurs emplacements réseau.
5. Vérifiez que les enregistrements CAA renvoient des réponses cohérentes depuis plusieurs emplacements réseau.

Si nécessaire, contactez votre fournisseur DNS pour vérifier que votre infrastructure DNS est accessible depuis plusieurs emplacements réseau.
 

Qu’est-ce que la corroboration?

La corroboration signifie que DigiCert valide les informations depuis plusieurs emplacements réseau indépendants avant de valider un domaine ou d’émettre un certificat.

• Pour la validation du contrôle de domaine (DCV), DigiCert compare les données de validation récupérées depuis plusieurs perspectives réseau.
• Pour les vérifications Certificate Authority Authorization (CAA), DigiCert compare les informations CAA récupérées depuis plusieurs perspectives réseau.

Cette redondance contribue à protéger contre les menaces de sécurité susceptibles d’amener DigiCert à recevoir des informations incorrectes de validation de domaine ou de CAA depuis une seule perspective réseau. En comparant les résultats provenant de plusieurs perspectives réseau, DigiCert peut détecter les résultats incohérents avant de valider un domaine ou d’émettre un certificat.
 

Fonctionnement de MPIC

Validation du contrôle de domaine (DCV)

DigiCert effectue sa vérification standard de validation du domaine depuis son réseau principal. DigiCert répète ensuite cette vérification depuis plusieurs perspectives réseau distantes.

Le processus de validation de domaine MPIC concerne les types de certificats suivants qui incluent un nom de domaine ou une adresse IP:

• TLS
• Secure Email (S/MIME)
• Verified Mark / Common Mark
• Qualified Website Authentication Certificate (QWAC) / QWAC PSD2
• PKIO Private Services Server
• X9 PKI for TLS

Les exigences de corroboration s’appliquent à chacune des méthodes DCV répertoriées ci-dessous.
Si un nombre insuffisant de perspectives réseau distantes corrobore les données de validation du réseau principal, la validation du domaine échoue et le certificat ne peut pas être émis.

MPIC s’applique à toutes les méthodes courantes de validation du contrôle de domaine (DCV), notamment:

• Persistent DNS TXT Record
• DNS TXT record
• DNS CNAME record
• Email to DNS TXT contact
• Email to CAA contact
• HTTP Practical Demonstration (seule méthode prenant en charge la validation des adresses IPv4 et IPv6)
• HTTP Practical Demonstration with a unique file name
• ACME HTTP-01
• ACME DNS-01

En savoir plus sur ces méthodes de validation du contrôle de domaine (DCV).
 

Vérification DNS Certificate Authority Authorization (CAA)

MPIC s’applique également aux vérifications des enregistrements DNS CAA. Avant d’émettre un certificat, DigiCert effectue sa vérification standard des enregistrements CAA depuis son réseau principal et répète cette vérification depuis plusieurs perspectives réseau distantes.

La vérification CAA MPIC concerne les types de certificats publics suivants:

• TLS
• Qualified Website Authentication Certificate (QWAC) / QWAC PSD2
• Secure Email (S/MIME)

En savoir plus sur la vérification des enregistrements de ressources DNS CAA.
 

Exigences de corroboration du CA/Browser Forum

Les exigences MPIC du CA/Browser Forum définissent le calendrier de déploiement progressif, notamment le nombre minimal de perspectives réseau distantes que les CA doivent utiliser et leur répartition géographique. Elles définissent également le nombre de non-corroborations autorisées en fonction du nombre de perspectives réseau distantes utilisées. Consultez les Exigences de base du CA/Browser Forum relatives aux certificats TLS pour connaître l’ensemble des exigences.

À compter de décembre 2026, DigiCert utilisera 6 perspectives réseau distantes. Lorsque 6 perspectives réseau distantes ou plus sont utilisées, les exigences de quorum du CA/Browser Forum autorisent jusqu’à 2 non-corroborations.
 

Calendrier de mise en œuvre progressive

Exigences de quorum