ACME : Automatic Certificate Management Environment
Gestion des clés
ACME : Automatic Certificate Management Environment. « Environnement de gestion automatique des certificats », par analogie avec le prélèvement automatique qui paie la facture avant que quiconque ait pensé à la chercher.
Le principe : Un client demande un certificat à une autorité, prouve qu'il contrôle le nom de domaine, envoie sa CSR et récupère le certificat signé. Tout passe par une API sur HTTPS, sans formulaire ni humain au guichet.
Les défis : La preuve de contrôle passe par un fichier servi en HTTP, un enregistrement texte posé dans le DNS ou un certificat spécial présenté via ALPN. Le défi DNS est le seul qui permette d'obtenir un certificat générique.
Durées courtes : L'automatisation autorise des certificats de quelques semaines ou quelques mois, renouvelés sans y penser. L'homme a mis des siècles à dompter le feu ; il a fallu un protocole pour lui apprendre à ne plus oublier une date d'expiration.
Origine : Conçu pour l'autorité gratuite Let's Encrypt, puis normalisé à l'IETF, il est aujourd'hui accepté par de nombreuses autorités publiques et par des PKI internes.
Ce qui arrive si on s'en passe
Sans renouvellement automatique, les certificats sont renouvelés à la main, donc oubliés, et le service tombe le jour de l'expiration avec des erreurs que les utilisateurs apprennent à ignorer. Pour espacer ces corvées, on choisit des durées de validité longues, si bien qu'une clé privée volée reste exploitable longtemps et qu'une révocation mal propagée ne rattrape rien. Il faut aussi protéger ce que le protocole met en jeu : le compte du client, sa clé et surtout l'accès en écriture à la zone DNS, car quiconque peut poser l'enregistrement de défi obtient un certificat valide pour le domaine. L'automatisation ne dispense pas de surveiller : un renouvellement qui échoue en silence n'est qu'un oubli manuel avec un peu de retard.
Explication de la marmotte
Pour qu'un site soit reconnu comme authentique, il possède une sorte de carte d'identité numérique qui expire au bout de quelques mois. La renouveler à la main, c'est comme refaire son passeport tous les trois mois : on finit toujours par oublier, et le site affiche alors un gros message d'alerte. Ce système règle le problème : un petit programme sur le serveur prouve tout seul qu'il est bien le propriétaire du site, récupère la nouvelle carte et l'installe, sans intervention humaine.
Où ce terme est utilisé
- Sécuriser ACME wildcard et external account binding (20 occurrences)
- Certificats de courte durée (16 occurrences)
- Relier une clé à une identité: certificats et PKI (6 occurrences)
- Sécuriser la validation de domaine HTTP-01 et DNS-01 (4 occurrences)
- Gestion du cycle de vie des certificats à grande échelle (3 occurrences)
- Choisir ECDSA, EdDSA ou RSA pour un certificat TLS (2 occurrences)
- Cycle de vie d'une autorité de certification intermédiaire (2 occurrences)
- PKI et TLS (2 occurrences)
- STARTTLS : attaque par retrait, MTA-STS et TLS implicite (2 occurrences)
- La révocation qui ne marche pas (1 occurrence)