Avec le nombre élevé d’attaques informatiques ciblant les sites web sur la toile, il n’est pas nécessaire de rappeler que l’un des moyens essentiels de prévention contre ces piratages demeure l’adoption des mesures de sécurité comme le chiffrement des sites web.Let’s Encrypt, l’autorité de certification qui a lancé ses services publics en 2015, offre des outils dans ce sens avec la mise à disposition de moyens automatisés pour l’installation et le renouvellement de certificats gratuits pour le protocole de chiffrement TLS. Avec ces services, Let’s Encrypt souhaite offrir un web à 100 % sécurisé en permettant aux entités qui disposent de peu de ressources financières et techniques d’utiliser ses services pour sécuriser leurs sites web.
Pour faciliter le déploiement et l’adoption du HTTPS sur le Web, l’autorité a utilisé différentes stratégies. Par exemple, elle a offre gratuitement à travers la version 2 du protocole ACME (Automated Certificate Management Environment) des « wildcard certificates » (certificats génériques) depuis mars 2018. Ils ont pour but de sécuriser n’importe quel nombre de sous-domaines d’un domaine de base. En d’autres termes, avec ces certificats génériques, les administrateurs peuvent utiliser une seule paire de certificat et clé pour un domaine et tous ses sous-domaines, et ne plus enregistrer individuellement un certificat pour chaque adresse web comme c’était le cas jusqu’à ce moment-là.
Des stratégies payantes
L’autorité de certification Let's Encrypt a distribué un grand volume de certificats gratuits par jour en 2016, dépassant parfois la barre des 100 000 certificats par jour. Fin juin 2017, l’autorité a indiqué avoir franchi les 100 millions de certificats depuis son lancement en décembre 2015. Rappelons qu’en février 2017, Let's Encrypt était utilisé par 13,70 % du total des domaines français enregistrés.
Après avoir lancé les certificats génériques en mars 2018, Let’s Encrypt a vu son trafic exploser : selon le baromètre NetTrack, les certificats délivrés par Let’s Encrypt représentaient 51,21 % de part de marché en avril 2018, bien loin de COMODO CA Limited qui occupait la seconde place avec ses 14,82 % de PDM. GoDaddy.com venait en troisième position avec 6,14 % de PDM.
Cette fois-ci, Let’s Encrypt a franchi un nouveau cap : il a déjà livré un milliard de certificats sur le Web. L’annonce a été faite par Josh Aas et Sarah Gran sur le blog de l’entreprise :
« Nous avons délivré notre milliardième certificat le 27 février 2020. Nous allons utiliser ce grand chiffre rond comme une occasion de réfléchir à ce qui a changé pour nous et pour Internet, menant à cet événement. En particulier, nous voulons parler de ce qui s'est passé depuis la dernière fois que nous avons parlé d'un grand nombre de certificats - cent millions.
« Une chose qui est différente maintenant, c'est que le Web est beaucoup plus crypté qu'il ne l'était. En juin 2017, environ 5 8% des chargements de pages utilisaient HTTPS dans le monde, 64 % aux États-Unis. Aujourd'hui, 8 1% des chargements de pages utilisent HTTPS dans le monde, et nous sommes à 91 % aux États-Unis! C'est une réalisation incroyable. C’est beaucoup plus de confidentialité et de sécurité pour tout le monde.
« Une autre chose qui est différente, c'est que notre organisation s'est un peu développée, mais pas beaucoup! En juin 2017, nous desservions environ 46 millions de sites Web, et nous l'avons fait avec 11 employés à temps plein et un budget annuel de 2,61 millions de dollars. Aujourd'hui, nous desservons près de 192 millions de sites Web avec 13 employés à temps plein et un budget annuel d'environ 3,35 millions de dollars. Cela signifie que nous desservons plus de 4x les sites Web avec seulement deux employés supplémentaires et une augmentation de 28% du budget. Le personnel et le budget supplémentaires ont fait plus que simplement améliorer notre capacité à évoluer, mais nous avons apporté des améliorations à tous les niveaux pour fournir un service encore plus sûr et fiable.
« Rien ne favorise l'adoption comme la facilité d'utilisation, et la base de la facilité d'utilisation dans l'espace des certificats est notre protocole ACME. ACME permet une automatisation poussée, ce qui signifie que les ordinateurs peuvent effectuer la plupart du travail. Il a également été normalisé en tant que RFC 8555 en 2019, ce qui permet à la communauté Web de créer en toute confiance un écosystème de logiciels encore plus riche autour de lui. Aujourd'hui, grâce à notre incroyable communauté, il existe un client ACME pour à peu près tous les environnements de déploiement. Certbot est l'un de nos favoris, et ils ont travaillé dur pour le rendre encore plus facile à utiliser.
« Lorsque vous combinez la facilité d'utilisation avec des incitations, c'est à ce moment que l'adoption décolle vraiment. Depuis 2017, les navigateurs ont commencé à nécessiter HTTPS pour plus de fonctionnalités, et ils ont considérablement amélioré la façon dont ils communiquent à leurs utilisateurs les risques de ne pas utiliser HTTPS. Lorsque les sites Web mettent leurs utilisateurs en danger en n'utilisant pas HTTPS, les principaux navigateurs affichent désormais des avertissements plus forts. De nombreux sites ont répondu en déployant HTTPS. »
Source : Let's Encrypt
Et vous ?
Qu'est-ce qui pourrait, selon vous, expliquer cette popularité ? Au vu de la taille de l'équipe et du budget annuel, estimez-vous qu'il s'agit d'un exploit ? Dans quelle mesure ? Votre entreprise (ou vous-même) utilise-t-elle un certificat émis par Let's Encrypt pour son site ? Trouvez-vous qu'il est plus facile de déployer les certificats HTTPS avec Let's Encrypt qu'avec la concurrence ?