Le chiffrement asymétrique permet d'échanger un secret sans le compromettre. Mais une question reste ouverte : comment être sûr que la clé publique reçue appartient vraiment à qui l'on croit ?

Un attaquant pourrait présenter sa propre clé en se faisant passer pour votre banque — c'est l'attaque de l'homme du milieu. La PKI existe pour garantir cette identité.

Un certificat numérique associe une clé publique à une identité, et porte la signature d'une autorité reconnue.

C'est l'équivalent d'une carte d'identité : une photo (la clé publique) validée par un tampon officiel.

Une Autorité de Certification (CA) vérifie une identité avant de signer un certificat. Votre navigateur fait confiance par défaut à une liste de CA racines préinstallées.

Le navigateur remonte cette chaîne à chaque connexion pour vérifier sa légitimité, exactement comme on remonterait d'une préfecture jusqu'au ministère.

Émission : le site génère une paire de clés, envoie une demande de signature (CSR) à la CA, qui vérifie le contrôle du domaine avant de signer.

Expiration : une durée de vie limitée réduit les dégâts en cas de compromission silencieuse d'une clé.

Révocation : deux mécanismes permettent d'invalider un certificat avant son expiration naturelle :

• CRL — une liste noire publiée par la CA
• OCSP — une vérification en temps réel auprès de la CA

Le navigateur reçoit le certificat du serveur, vérifie la chaîne de confiance, la validité et le nom de domaine, puis établit une clé de session symétrique via le chiffrement asymétrique.

Le reste de l'échange bascule sur du chiffrement symétrique, plus rapide. La PKI garantit l'identité du serveur ; ce n'est pas elle qui chiffre l'ensemble du trafic.

Générer un certificat auto-signé avec OpenSSL, étudier le format X.509 en détail, ou explorer le mTLS pour l'authentification mutuelle entre microservices — des sujets que nos formations abordent en profondeur.

Une question sur votre propre infrastructure ? Parlez-en à notre équipe.