Vous souhaitez consulter un site web, peut-être auquel vous avez l'habitude de vous connecter, et un message d'avertissement s'affiche, vous empêchant d'y accéder. Mais que se passe-t-il ? Un changement important dans la politique de sécurité de Chrome va bientôt créer ce genre de situations.

Google annonce que son navigateur Chrome ne prendra plus en charge les certificats de sécurité publiés par Entrust et AffirmTrust. À partir du 1ᵉʳ novembre 2024, les certificats d'authentification TLS de ces deux entités ne seront plus approuvés par défaut.

“Au cours des dernières années, les rapports d’incidents divulgués publiquement ont mis en évidence une tendance à des comportements préoccupants de la part d’Entrust”, fait savoir la Chrome Security Team. Les procédés de l'autorité de certification ne répondent plus aux exigences de la firme de Mountain View en matière de sécurité, qui explique que la confiance dans sa compétence, sa fiabilité et son intégrité s'est érodée.

Chrome révolutionne sa gestion des certificats de sécurité

“Les autorités de certification jouent un rôle privilégié sur internet, car elles assurent les connexions chiffrées entre les navigateurs et les sites web”, rappelle Google, qui estime qu'une telle responsabilité amène des attentes “en matière de sécurité et de conformité, notamment celles définies par les exigences TLS”.

“Au cours des six dernières années, nous avons observé une tendance à la non-conformité, aux engagements d'amélioration non respectés et à l'absence de progrès tangibles et mesurables en réponse aux rapports d'incidents”, regrette Google. “La confiance continue de Chrome envers Entrust n'est plus justifiée”, conclue la firme américaine.

Le blocage des certificats de sécurité émis par Entrust et AffirmTrust sera effectif sur Chrome 127 et les versions supérieures du navigateur sur presque tous les supports : Windows, macOS, ChromeOS, Android et Linux (iOS interdit l'utilisation du vérificateur de certificat Chrome et du Chrome Root Store).

Les utilisateurs auront toutefois la possibilité de réactiver manuellement les certificats bannis dans les paramètres de Chrome, à leurs risques et périls. Si vous choisissez de garder les options par défaut, vous ne pourrez plus accéder aux sites web diffusant un certificat émis par Entrust ou AffirmTrust après le 31 octobre 2024. Vous verrez alors apparaître un écran d'avertissement comme sur la capture ci-dessous.