Certificats numériques : l’angle mort de la cybersécurité en entreprise

Un certificat expiré peut suffire à immobiliser une chaîne de production, rendre une API bancaire inaccessible ou clouer des avions au sol. Pourtant, tant qu’il fonctionne, personne ne le voit. Dans ce nouvel Angle d’Attaque animé par Yasmine Douadi, Jean-Julien Alvado, cofondateur et CTO d’Evertrust, décrypte pourquoi la gestion du cycle de vie des certificats numériques est devenue, en silence, l’un des enjeux les plus concrets de la résilience et de la souveraineté des organisations.

Que partagent Spotify, la Banque d’Angleterre et Sky Airlines ? Toutes trois ont connu des interruptions opérationnelles causées par des certificats expirés. Et pourtant, personne ne s’attendait vraiment à ce que cela arrive. C’est tout le paradoxe des certificats numériques : plus ils fonctionnent bien, moins on y prête attention. Mais dès qu’ils expirent, l’impact est immédiat. Derrière ce terme un peu abstrait se cachent des éléments présents partout dans les systèmes d’information. Ils permettent d’authentifier un service, de chiffrer des échanges ou de signer des données. Comme le résume Jean-Julien Alvado : « Il y en a partout, on ne les voit pas, mais ils sont là. »

À lire aussi : IA juridiques : la promesse, la faille et la facture

Concrètement, un certificat numérique agit comme une carte d’identité vérifiée, pour un site web, une application, un équipement ou un système interne. Il permet de s’assurer que l’on communique bien avec le bon interlocuteur, de protéger les échanges et de garantir l’intégrité de certaines données. Ces certificats sont délivrés et gérés au sein d’une PKI (Public Key Infrastructure), soit une infrastructure à clés publiques. Il s’agit de l’ensemble des règles, des rôles et des systèmes qui permettent d’émettre, de distribuer, de renouveler et de révoquer des certificats numériques, tout en établissant la confiance entre les parties prenantes.
‍

Des pannes silencieuses, des impact immédiats
‍

Les exemples récents montrent que la défaillance des certificats numériques n’a rien d’anecdotique. « Quand ils expirent, tout de suite, ça crée des incidents qui peuvent avoir des répercussions majeures, à minimum en terme d’image, souvent en terme de profit loss », explique Jean-Julien Alvado. En 2021, l’expiration d’un certificat TLS chez Epic Games a ainsi rendu Fortnite et Rocket League indisponibles pour des millions de joueurs. Un an plus tard, Spotify a subi une interruption de service d’environ huit heures affectant la gestion et l’écoute de podcasts, tandis que Cisco voyait environ 20 000 clients impactés par des certificats expirés sur certains équipements.

À lire aussi : Cybersécurité et souveraineté numérique : pourquoi la défense « made in France » se joue sur les compétences

Le phénomène a également touché des infrastructures plus critiques. En 2024, la Banque d’Angleterre a interrompu une chaîne de paiement à haute valeur, pendant environ une heure et demie, et Sky Airlines a vu des vols immobilisés au sol après l’expiration de certificats. Ces incidents montrent que les certificats ne concernent pas uniquement la cybersécurité, mais touchent aussi la résilience opérationnelle, c’est-à-dire la continuité d’activité, l’image de marque, le chiffre d’affaires et la confiance des utilisateurs.
‍

L’enjeu est donc d’éviter les certificate outages (interruptions de service des certificats), soit des pannes provoquées par l’expiration ou la mauvaise gestion d’un certificat. Pour Jean-Julien Alvado, ces failles proviennent rarement d’un manque de technologie, mais résultent surtout de trois facteurs : un volume trop élevé de certificats, une visibilité insuffisante sur le parc existant et une absence de responsabilité claire.
‍

La course contre la montre

‍

À cette fragilité organisationnelle s’ajoute désormais une contrainte temporelle. La durée de vie maximale des certificats publics est en train de diminuer considérablement. Elle passe de 398 jours à 200 jours en mars 2026, puis à 100 jours un an plus tard, avant d’atteindre 47 jours d’ici 2029. En pratique, les organisations devront donc renouveler certains certificats presque tous les mois et demi.

Cette évolution concerne les certificats publics délivrés par des autorités de certification publiques, telles que DigiCert, Sectigo ou GlobalSign. Elle ne concerne pas nécessairement les certificats internes utilisés au sein d’une entreprise, mais pour les organisations qui en gèrent déjà un grand volume, l’impact sera considérable. « Ça va amener une charge opérationnelle aux équipes qui est assez conséquente », alerte Jean-Julien Alvado. 

À lire aussi : Data security et IA agentique : pourquoi les entreprises n’ont plus le droit d’attendre

Par conséquent, le renouvellement manuel pourrait devenir difficile à tenir. Sans automatisation, le risque d’oubli, d’erreur humaine et d’interruption de service augmente exponentiellement. C’est précisément le rôle des solutions de certificate lifecycle management (CLM). Elles permettent d'inventorier les certificats, de suivre leurs échéances, d’automatiser les renouvellement et de tracer les opérations. 
‍

La souveraineté s’impose 

Le choix d’une solution de gestion des certificats peut également devenir un choix stratégique. « On sent une différence dans le discours globalement depuis la situation géopolitique avec les États-Unis et la posture qui est prise par leurs dirigeants », note Jean-Julien Alvado, qui observe ce changement de ton depuis le début de l’année. La souveraineté numérique ne se limite plus aux secteurs les plus sensibles, comme la défense ou les gouvernements.
‍

Il faut toutefois s’accorder sur ce que recouvre ce terme : souveraineté des données, souveraineté française ou souveraineté européenne ? Les définitions et priorités varient, mais le désir de fond reste le même : choisir une solution résiliente face aux décisions fluctuantes de la géopolitique. Comme l’observe Jean-Julien Alvado, « c’est un marché qui est en train d’évoluer. C’est un marché qui est plutôt un marché de remplacement. »

À lire aussi : Biocomputing : les neurones humains, futur de l’intelligence artificielle ?

Mais ce remplacement doit être effectué avec précaution. Certains clients estiment être souverains lorsqu’ils hébergent une solution américaine en mode on-premise, avec des serveurs et des données conservés en interne. Pour Jean-Julien Alvado, la localisation des données ne suffit pourtant pas. « Si à un moment le gouvernement américain décide que ces solutions ne soient plus vendues aux Européens, je ne sais pas comment ils font pour avoir des mises à jour, les correctifs de sécurité, et ainsi de suite », explique-t-il. Reste à mesurer l’impact réel de ce discours sur les décisions d’achat. Les cycles de vente dans ce secteur sont longs, et un changement de ton ne se traduit pas immédiatement en contrats.
‍

La conformité comme point de départ
‍

NIS2, DORA, CRA : les cadres réglementaires européens incitent les organisations à structurer leur gestion des actifs, leur traçabilité et leurs processus de sécurité mesurables. Ils sont souvent vécus comme une charge ou une contrainte, notamment en raison des sanctions possibles. Pourtant, ils imposent une logique qui correspond exactement à ce que demande la gestion des certificats : savoir ce qui existe, identifier les personnes responsables, anticiper les échéances et documenter le remplacement. La conformité ne garantit évidemment pas, à elle seule, la sécurité des certificats. Mais elle peut encourager les organisations à prêter attention aux bonnes pratiques qui les entourent, en transformant une obligation réglementaire en habitude opérationnelle.

À lire aussi : IA et cybersécurité : pourquoi les données mal maîtrisées deviennent un nouveau risque

Les certificats numériques ne font généralement pas la une. Ils ne sont pas perçus comme une menace, ne génèrent pas d’alerte spectaculaire et ne mobilisent personne tant qu’ils fonctionnent. C’est précisément ce qui les rend dangereux. Leur défaillance reste silencieuse jusqu’à ce qu’elle devienne visible pour les clients, les partenaires ou les utilisateurs. À mesure que leur durée de vie se raccourcit et que les réglementations se densifient, les organisations n’auront plus le choix. Elles devront connaître leur parc, automatiser les renouvellements et clarifier les responsabilités. La gestion du cycle de vie des certificats n’est donc pas un détail technique réservé aux équipes PKI. C’est une condition de continuité de service, de confiance et, de plus en plus, de souveraineté.