Authentification de site internet : le certificat qualifié et les navigateurs

Authentification de site internet : ce que le certificat relie

Le règlement eIDAS, version consolidée au 18 octobre 2024 lue sur EUR-Lex le 14 septembre 2026, définit le « certificat d'authentification de site internet » comme « une attestation électronique qui permet d'authentifier un site internet et relie le site internet à la personne physique ou morale à laquelle le certificat est délivré ».

Le mot important est « relie ». Un certificat de chiffrement ordinaire protège la liaison entre le visiteur et le serveur ; celui-ci rattache en plus le site à une identité vérifiée. Pour une TPE, c'est la différence entre une connexion chiffrée et un site dont on sait à qui il appartient — précisément ce qu'un visiteur ne peut pas vérifier autrement, et ce dont jouent les sites qui usurpent une marque. Sur ce cas de figure, voir notre page sur l'usurpation d'un site professionnel.

Ce que le niveau qualifié impose aux navigateurs

L'article 45, dans sa rédaction issue de la révision du règlement, ne se contente pas de définir un niveau de qualité : il crée une obligation pour les éditeurs de navigateurs. « Les certificats qualifiés d'authentification de site internet délivrés conformément au paragraphe 1 du présent article sont reconnus par les fournisseurs de navigateurs internet. »

Et la reconnaissance ne s'arrête pas à l'acceptation technique : « Les fournisseurs de navigateurs internet garantissent que les données d'identité attestées dans le certificat et les attributs attestés supplémentaires s'affichent de manière conviviale. » Ils doivent aussi garantir « la compatibilité et l'interopérabilité » avec ces certificats.

Une exception est écrite dans le même paragraphe, et elle vise les plus petits éditeurs : elle joue « à l'exception des micro ou petites entreprises telles qu'elles sont définies à l'article 2 de l'annexe de la recommandation 2003/361/CE pendant leurs cinq premières années d'activité en tant que fournisseurs de de services de navigation sur internet ». La coquille « de de » figure telle quelle dans le texte consolidé publié au Journal officiel ; nous la citons sans la corriger.

Ce qu'un certificateur ne peut pas exiger en plus

Le règlement ferme la porte aux exigences ajoutées : « Les certificats qualifiés d'authentification de site internet ne font l'objet d'aucune exigence obligatoire autre que les exigences fixées au paragraphe 1 », lequel renvoie à l'annexe IV et aux normes que la Commission devait établir « Au plus tard le 21 mai 2025 ».

Autrement dit, le contenu du dossier est borné par le texte européen, pas par la politique commerciale du prestataire.

Le pouvoir des navigateurs, et sa limite

L'article 45 bis encadre ce qu'un navigateur peut faire de son côté. Principe : « Les fournisseurs de navigateurs internet ne prennent aucune mesure contraire à leurs obligations énoncées à l'article 45 ». Dérogation : « uniquement en cas de préoccupations étayées concernant des atteintes à la sécurité ou la perte d'intégrité d'un certificat ou d'un ensemble de certificats identifiés, les fournisseurs de navigateurs internet peuvent prendre des mesures conservatoires ».

Cette mesure n'est pas silencieuse. L'éditeur doit alors notifier ses préoccupations par écrit « dans les meilleurs délais », avec la description des mesures prises, « à la Commission, à l'organe de contrôle compétent, à l'entité à laquelle le certificat a été délivré et au prestataire de services de confiance qualifié qui a délivré ce certificat ». L'entreprise concernée est donc informée, et une enquête suit. Si elle n'aboutit pas au retrait du statut qualifié, l'organe de contrôle « lui demande de mettre fin aux mesures conservatoires ».

Ce que cette page ne dit pas

Elle ne compare pas les certificats du marché, ne donne aucun prix et ne dit pas comment un navigateur donné affiche aujourd'hui ces informations. Elle ne reproduit pas l'annexe IV, qui fixe le contenu du certificat qualifié, ni les seuils de la recommandation 2003/361/CE. Pour la sécurisation courante d'un site, voir notre page dédiée. Règlement eIDAS consolidé au 18 octobre 2024, lu sur EUR-Lex le 14 septembre 2026.