Digital Certificates Service - Technical FAQ

L'interface (Sectigo Certificate Manager) :

Comment accéder à l’interface de gestion ?       
Qui est l'autorité locale d’enregistrement (RA) de mon institution ?       
Comment effectuer une validation de contrôle de domaine pour tous les domaines (racines) ?       
Où puis-je trouver plus d'informations techniques concernant l'interface ?

Les certificats :

Quels sont les certificats disponibles chez Sectigo ? 
Quelles sont les sous-catégories de certificats SSL ? 
Comment créer des notifications pour les certificats SSL sur le point d'expirer?       
Pourquoi je reçois un message erreur lors de la demande d'un certificat ?       
Pouvons-nous toujours disposer de l’équivalent des Grid Certificates avec Sectigo ?       
Puis-je demander pour la création d'un certificat personel/Client?       
Puis-je demander un certificat EV (Extended Validation) ?       
Les Document Singing Certificates sont-il disponibles via Sectigo?       
Comment demander un Code Signing Certificate ?       
Qu’est-ce qu’un GÉANT Wildcard SSL ?       
Puis-je demander un GÉANT Wildcard SSL ?       
Combien de temps faudra-t-il pour obtenir mon certificat ?       
Le certificat de mon serveur n'a pas été délivré par une autorité de certification (CA) connue. Ai-je oublié quelque chose ?       
Qu'est-ce qu'un PKI ?

CSR et l'algorithme de hachage sécurisé (SHA)

Qu'est-ce qu'un CSR ?
Les chaînes codées en Unicode ou en ASCII sont-elles valables dans le CSR ?
Qu'en est-il de la longueur de clé ?
Qu'est-ce qu'un fichier PKCS-12 ?
Que sont les SHA-1, SHA-2, SHA-256, SHA-384, etc. ?

Comment accéder à l’interface de gestion ?

• Signez votre contrat et envoyez-le à Belnet. (Seulement si votre institution n'a pas encore souscrit au Digital Certificates Service)
• Belnet procédera à la validation de votre service et créera votre compte sur l'interface de Sectigo.
• Visitez l'interface SCM (Sectigo Certificate Manager) et connectez-vous avec vos identifiants (login + password) initiaux envoyés par Belnet.

Qui est l'autorité locale d’enregistrement (RA) de mon institution ?

Pour des raisons de confidentialité, nous ne pouvons pas fournir une liste des autorités d'enregistrement (RA) pour chaque institution. Contactez le centre informatique ou le département IT de votre institution.

Comment effectuer une validation de contrôle de domaine pour tous les domaines (racines) ?

Dans le SCM Sectigo Certificate Manager Administrator's Guide, consultez le chapitre §6.4 "Managing and Validating Domains".

Où puis-je trouver plus d'informations techniques concernant l'interface ?

Vous trouverez toutes les informations nécessaires dans ce manuel rédigé par Belnet : Belnet Sectigo Documentation.

Quels sont les certificats disponibles chez Sectigo ?

Il existe trois catégories de certificats :

• SSL Certificates
• Client Certificates
• Code Signing Certificates

Quelles sont les sous-catégories de certificats SSL ?

Il existe sept sous-catégories de certificats SSL :

• GÉANT OV SSL 
• GÉANT Wildcard SSL 
• GÉANT Unified Communications Certificate
• GÉANT OV Multi-Domain
• GÉANT EV SSL 
• GÉANT EV Multi-Domain
• GÉANT IGTF Multi-Domain 

Comment créer des notifications pour les certificats SSL sur le point d'expirer?

• Accédez à Sectigo Certificate Manager
• Allez sur Settings --> Notifications
• Cliquez sur ‘Add’

• Entrez les valeurs souhaitées sur le formulaire
• Vous pouvez également modifier les modèles par défaut:

- Settings –> Organizations         
- Sélectionnez votre organisation et cliquez sur ‘Edit’         
- Dans l’onglet ‘Email template’, vous avez tous les modèles disponibles

• Sélectionnez le modèle que vous souhaitez modifier et cliquez sur ‘Edit’

Pourquoi je reçois un message erreur lors de la demande d'un certificat ?

Lorsque je demande un certificat, je reçois le message d'erreur "Vous ne pouvez pas commander de certificats pour les domaines suivants ou commander de domaines supplémentaires: ....".

C'est probablement parce que vous n'avez pas encore ajouté la version wildcard de vos domaines (* .mydomain.be) dans "Paramètres -> Domaines". Retrouvez dans notre manuel pour plus de détails.

Pouvons-nous toujours disposer de l’équivalent des Grid Certificates avec Sectigo ?

Oui, il s'agit des certificats « Géant IGTF Multi Domain ».

Puis-je demander pour la création d'un certificat personel/Client?

Oui, sur la plateforme Sectigo, vous pouvez créer vos Personal/Client Certificates en suivant la procédure disponible dans ce manuel à télécharger : Personal/client certificate How to (dernière mise à jour 24 octobre 2022).

Puis-je demander un certificat EV (Extended Validation) ?

Oui, mais il existe une procédure de validation très stricte! Contactez d'abord le Belnet Service Desk. Nous vous fournirons ensuite la procédure et lancerons la demande.

Les Document Singing Certificates sont-il disponibles via Sectigo?

Ils ne font pas partie du contrat actuel. Cependant, il est possible de commander des Document Signing Certificates sur un token USB préconfiguré auprès de Sectigo à des prix réduits. Plus d'informations sur ce processus sont disponibles dans ce GUIDE.

Comment demander un Code Signing Certificate ?

A partir du 30 mai 2023, les certificats de signature de code Sectigo OV seront soit :

• Installés sur un token Sectigo et expédiés en toute sécurité à votre domicile
• Disponibles en téléchargement pour être installés sur votre propre HSM

Les dispositifs matériels (par exemple, les tokens, les HSM, etc.) doivent être conformes à la norme FIPS et prendre en charge une attestation de clé vérifiable de manière externe.

Pour plus d'informations sur la procédure, consultez ce manuel (dernière mise à jour le 31/10/2024).

Qu’est-ce qu’un GÉANT Wildcard SSL ?

Il s'agit d'un certificat qui contient un * dans son champ CN (Common Name), comme *.mondomaine.be. Il est très facile de créer un seul certificat et de l'installer sur tous les serveurs de votre domaine.

Malheureusement, c'est également dangereux, car si un seul serveur est compromis, le certificat de type « wildcard » doit être révoqué. Tous les autres serveurs auront donc aussi un certificat non valide.

Puis-je demander un GÉANT Wildcard SSL ?

Oui, le système est autorisé à délivrer des certificats de type « wildcard ». Attention, un tel certificat ne devrait idéalement être utilisé que pour un sous-domaine de votre domaine principal, par ex. *.mesimprimantes.mondomaine.be.

Combien de temps faudra-t-il pour obtenir mon certificat ?

Cela dépend du temps nécessaire à l'administrateur local de votre institution pour approuver votre demande.

Le certificat de mon serveur n'a pas été délivré par une autorité de certification (CA) connue. Ai-je oublié quelque chose ?

Vous avez probablement oublié de télécharger et d'installer le fichier keychain de confiance en même temps que votre certificat sur votre serveur web.

Qu'est-ce qu'un PKI ?

Une PKI (Public Key Infrastructure) est un déploiement opérationnel d'un système cryptographique à clés publiques, utilisant des certificats, des AC, des AE, etc. Son but est de permettre à différentes parties de vérifier l'identité numérique des personnes ou des serveurs. Bien qu'elle ne soit pas obligatoire, la PKI utilise des certificats comme éléments constitutifs de base.

Qu'est-ce qu'un CSR ?

Le CSR (Certificate Signing Request) est un document contenant toutes les données qui doivent être signées pour qu'un certificat (clé publique et identité) soit délivré par une autorité de certification.

Les chaînes codées en Unicode ou en ASCII sont-elles valables dans le CSR ?

Oui, les deux sont valables. 

Qu'en est-il de la longueur de clé ?

Nous recommandons un minimum de 2048 bits pour la longueur de la clé puisque Sectigo refuse une longueur de clé d'une taille inférieure à 2048 bits.

Qu'est-ce qu'un fichier PKCS-12 ?

Il s'agit d'un format de fichier permettant de gérer les certificats dans leur ensemble (y compris les clés publiques et privées) et autorisant le transport des certificats d'une machine à l'autre, par exemple. Ces fichiers sont en général encryptés à l'aide d'un code PIN.

Que sont les SHA-1, SHA-2, SHA-256, SHA-384, etc. ?

SHA signifie algorithme de hachage sécurisé (Secure Hash Algorithm). Il y plusieurs versions de l'algorithme : actuellement SHA-1, SHA-2 et SHA-3. Tous sont des algorithmes qui calculent un hachage d'un message d'une certaine longueur en termes de nombre de bits utilisés :

• Le hachage SHA-1 a une longueur de 160 bits.
• En ce qui concerne SHA-2, les longueurs sont de 224, 256, 384 et 512 bits (et les noms associés sont donc SHA-256, SHA-384, etc.)
• SHA-3 est la future nouvelle norme NIST qui remplacera SHA-2, mais bien que connue et documentée, elle n'a pas encore été publiée comme norme et n'est donc pas considérée comme un algorithme à utiliser dans les environnements de production.