20.3. Présentation des certificats et de la sécurité

Votre serveur sécurisé offre la sécurité à l'aide d'une combinaison du protocole 'Secure Sockets Layer' (ou SSL) et (dans la plupart des cas) d'un certificat numérique attribué par un fournisseur de certificats (CA). SSL traite les communications cryptées et l'authentification mutuelle entre les navigateurs et votre serveur sécurisé. Le certificat numérique approuvé par le CA fournit l'authentification pour votre serveur sécurisé (la réputation du CA est à la base du certificat d'identité de votre organisation). Lorsque votre navigateur communique à l'aide de cryptage SSL, le préfixe https:// est employé au début de l'adresse URL ('Uniform Resource Locator') dans la barre de navigation.

Le cryptage dépend de l'utilisation de clés (imaginez ces clés comme étant des codeurs/décodeurs de chaînes de données secrètes). Le cryptage dépend de l'utilisation de clés (imaginez ces clés comme étant des codeurs/décodeurs de chaînes de données secrètes). Dans le cas de la cryptographie conventionnelle ou symétrique, les deux extrémités de la transaction ont la même clé, qu'elles utilisent pour décoder leurs transmissions mutuelles. Dans le cas du cryptage public ou asymétrique, il existe deux clés: une clé publique et une clé privée. Les personnes ou les organisations gardent leur clé privée secrète et publie leur clé publique. Les données codées à l'aide de la clé publique ne peuvent être décodées qu'avec la clé privée; les données codées avec la clé privée ne peuvent être décodées qu'avec la clé publique

Pour configurer votre serveur sécurisé, utilisez le cryptage public pour créer une paire de clés publique et privée. Dans la plupart des cas, vous envoyez une demande de certificat (ainsi que votre clé publique), une preuve de l'identité de votre société et un paiement à un fournisseur de certificats. Ce dernier vérifiera votre demande et votre identité, puis vous enverra un certificat pour votre serveur sécurisé.

Un serveur sécurisé utilise un certificat pour s'identifier auprès des navigateurs Web. Vous pouvez générer votre propre certificat (appelé certificat 'auto-signé') ou en obtenir un d'un fournisseur de certificats (CA). Un certificat provenant d'un CA de bonne réputation garantit qu'un site Web est bel et bien associé à une société ou organisation spécifique.

Vous pouvez également créer votre propre certificat auto-signé. Notez toutefois que les certificats auto-signés ne devraient généralement pas être utilisés pour les environnements de production. En effet, ils ne sont pas automatiquement acceptés par les navigateurs Web des utilisateurs — les navigateurs demandent d'abord aux utilisateurs s'ils acceptent le certificat et la création d'une connexion sécurisée. Reportez-vous à la Section 20.5 pour plus d'informations sur les différences entre les certificats auto-signés et ceux signés par un fournisseur de certificats.

Une fois que vous avez votre certificat, auto-signé ou signé par le fournisseur de certificats de votre choix, vous devez l'installer sur votre serveur sécurisé.