Certificats auto-signés : ce qu'ils sont et quand les éviter

Un certificat auto-signé est signé par la même entité qui l'a créé, plutôt que par une autorité de certification reconnue.

Pourquoi les navigateurs les signalent

Puisqu'aucun tiers de confiance ne garantit sa légitimité, les navigateurs ne peuvent pas vérifier un certificat auto-signé, et affichent un avertissement de sécurité par défaut.

Quand ils conviennent vraiment

Les environnements de développement internes, configurations de test et réseaux privés non accédés par le public sont tous des usages raisonnables, puisque les personnes y accédant peuvent sciemment accepter l'avertissement.

Ne jamais les utiliser pour un site public

Pour tout site atteint par de vrais visiteurs, utilisez un certificat correctement émis (les options gratuites comme Let's Encrypt éliminent toute excuse de coût) — l'avertissement de sécurité seul repoussera presque tous les visiteurs légitimes.

Pour aller plus loin

• Certificats SSL
• Plus de guides de cybersécurité
• Let's Encrypt