Une autorité de certification indienne vient de retirer ses certificats TLS du marché, et le web français n’a pas fini d’en mesurer les effets. Chez eMudhra, huit certificats intermédiaires reposaient sur des clés privées si faibles qu’on pouvait les deviner. Après cette compromission, l’entreprise quitte la sécurité des sites web, et les administrateurs n’ont plus de temps à perdre.
Huit intermédiaires, des clés qu’on pouvait deviner
Tout part d’un signalement. Le 17 octobre 2026, un chercheur a alerté eMudhra au sujet de huit certificats intermédiaires d’autorité de certification. Leurs clés P-384 avaient été générées en avril 2025.
Le problème saute aux yeux : ces clés, qui auraient dû rester secrètes, étaient si simples qu’on pouvait les retrouver très facilement.
Une clé d’autorité garantit la confiance accordée à un site. Quand elle est compromise, c’est la sécurité de tous les sites web qui vacille, et le petit cadenas du navigateur ne tient plus vraiment sa promesse.
Un script mal étiqueté, à en croire eMudhra
Selon l’entreprise, une erreur dans un script aurait mélangé les étiquettes des clés faibles avec celles des clés correctes. Résultat : les mauvaises clés auraient été utilisées pour signer les certificats.
eMudhra affirme aussi que la plupart de ces certificats intermédiaires n’ont jamais été utilisés en production. Mais une erreur de script ne dispense pas d’auditer ses clés. L’explication de l’entreprise éclaire l’erreur, pas le risque.
Le groupe a annoncé son retrait le 22 octobre. Il quitte le marché des certificats SSL/TLS : une décision qui ne se prend pas pour un incident mineur.
Après le retrait, qui fait encore confiance aux sites web ?
🔗 Mettre en pause les mises à jour Windows : comment éviter les redémarrages au mauvais moment
🔗 Certificats expirés : certains PC et serveurs Windows ne recevront plus de mises à jour en 2027
Ne confondez pas retrait, révocation et défiance. La défiance de la racine, annoncée à partir du 27 octobre, se joue à un autre niveau : ce sont les navigateurs qui l’appliquent.
Mais certains logiciels utilisent leur propre magasin de certificats, ou ne vérifient pas leur révocation. Ils peuvent donc continuer à faire confiance aux certificats concernés sans rien signaler. Le piège est silencieux.
Concrètement, commencez par vérifier la chaîne de certificats de vos sites et de vos API, maillon par maillon. Mettez ensuite à jour vos magasins de confiance, puis renouvelez les certificats concernés.
Pas de raccourci. Et non, ce dossier n’a rien à voir avec une faille PHP, même si certains résultats mélangent les deux.
Un certificat ne vaut que la confiance qu’on lui accorde. Les administrateurs feraient bien de reprendre la main avant le prochain avis de sécurité.
