Suite à de nombreux problèmes de sécurité, l’équipe de développement de Chrome et la PKI community ont décidé que dans la prochaine version de Chrome, qui devrait sortir le 15 Mars 2018, les certificats de sécurité délivrés par Symantec ne seraient plus considérés comme fiables et que le navigateur préviendrait les internautes d’un problème de sécurité sur le site qui en sont équipés. Ce retrait de la confiance accordée par Google aux certificats de sécurité délivrés par Symantec devrait toutefois se faire progressivement, suivant que le certificat a été délivré avant ou après juin 2016. Cela est valable quelque soit le CMS utilisé, que ce soit WordPress ou PrestaShop !
En fait Chrome nous prévient déjà de tout ça depuis un certain temps, il suffit de savoir où regarder. Vous avez peut-être déjà remarqué dans la console de Chrome cette notice qui nous met en garde ? Je ne sais pas si les responsables de 1 & 1 sont au courant, mais il y a urgence pour eux !
Symantec étant un des plus gros pourvoyeurs de solution de sécurité sur Internet, il est donc étonnant que cette nouvelle ne fasse pas plus de bruit ! En tout cas votre agence de communication digitale aurait dû vous prévenir du problème en amont.
Voici le calendrier fourni par Google :
|
Date
|
Event
|
|
Now
through
~March 15, 2018
|
Site Operators using Symantec-issued TLS server certificates issued before June 1, 2016 should replace these certificates. These certificates can be replaced by any currently trusted CA.
|
|
~October 24, 2017
|
Chrome 62 released to Stable, which will add alerting in DevTools when evaluating certificates that will be affected by the Chrome 66 distrust.
|
|
December 1, 2017
|
According to Symantec, DigiCert’s new “Managed Partner Infrastructure” will at this point be capable of full issuance. Any certificates issued by Symantec’s old infrastructure after this point will cease working in a future Chrome update.
From this date forward, Site Operators can obtain TLS server certificates from the new Managed Partner Infrastructure that will continue to be trusted after Chrome 70 (~October 23, 2018).
December 1, 2017 does not mandate any certificate changes, but represents an opportunity for site operators to obtain TLS server certificates that will not be affected by Chrome 70’s distrust of the old infrastructure.
|
|
~March 15, 2018
|
Chrome 66 released to beta, which will remove trust in Symantec-issued certificates with a not-before date prior to June 1, 2016. As of this date Site Operators must be using either a Symantec-issued TLS server certificate issued on or after June 1, 2016 or a currently valid certificate issued from any other trusted CA as of Chrome 66.
Site Operators that obtained a certificate from Symantec’s old infrastructure after June 1, 2016 are unaffected by Chrome 66 but will need to obtain a new certificate by the Chrome 70 dates described below.
|
|
~April 17, 2018
|
Chrome 66 released to Stable.
|
|
~September 13, 2018
|
Chrome 70 released to Beta, which will remove trust in the old Symantec-rooted Infrastructure. This will not affect any certificate chaining to the new Managed Partner Infrastructure, which Symantec has said will be operational by December 1, 2017.
Only TLS server certificates issued by Symantec’s old infrastructure will be affected by this distrust regardless of issuance date.
|
|
~October 23, 2018
|
Chrome 70 released to Stable.
|
