Les certificats SSL gratuits sont-ils sécurisés?
Comment se fait-il que certains certificats SSL sont gratuits? Qu'est-ce que ça veut dire? Sont-ils sécurisés ou non?
La seule raison pour laquelle les entreprises facturent leurs certificats SSL est qu'elles consacrent du temps et des efforts à la création du certificat et s'attendent à être rémunérées pour leur travail (avec un bénéfice bien entendu). Mais ils n'ont pas à payer s'ils ne veulent pas faire comme n'importe quel fournisseur de services gratuit. Avec les certificats SSL, l’important est de savoir si les principaux constructeurs de navigateur reconnaissent les émetteurs de certificats comme dignes de confiance. Si tel est le cas, le navigateur affichera le site de manière sécurisée, comme il le ferait de tout autre fournisseur reconnu. Si tel n'est pas le cas, tout utilisateur tentant d'accéder à une page Web sécurisée par un certificat non reconnu sera averti par un avertissement l'informant que le certificat n'est pas reconnu et averti de ne pas poursuivre.
La vraie question est donc de savoir "quels fournisseurs gratuits sont reconnus par les principaux fabricants de navigateurs comme faisant autorité"?
Regardez Wikipedia pour une bonne comparaison des services SSL. Il semble que startcom dispose d’un service de certification SSL gratuit reconnu par IE, FF et Safari.
Je soupçonne qu'il existe d'autres services similaires autour. Le problème principal est de trouver des fournisseurs compatibles avec les navigateurs modernes. Avoir un navigateur avertit l'utilisateur que le certificat n'est pas fiable est pire que de ne pas en avoir du tout, du point de vue de la conversion et des ventes.
Infrastructure à clé publique dépend de ne tierce partie de confiance qui vérifiera et pourra ensuite approuver votre identité.
Lorsque vous payez une autorité de certification majeure telle que Verisign pour un certificat, vous payez pour sa réputation en tant que tierce partie réputée et digne de confiance qui peut approuver la validité de votre identité et de votre certificat. D'un point de vue pratique, cela signifie que les principaux navigateurs sont préconfigurés pour faire confiance aux certificats signés par ces autorités.
Je peux créer un certificat pour vous gratuitement, mais ce sera sans valeur, car personne ne sait qui je suis et mon endossement ne leur donne aucune confiance.
Même les principales autorités de certification telles que verisign, globalsign, COMODO offrent une version gratuite du certificat SSL à la période de suivi, car elles nous donnent la chance de faire confiance à leur produit et de le valoriser.