🎓 Niveau : 🔴 Avancé
📋 Prérequis : notions de chiffrement asymétrique, TLS/HTTPS, DNS
MPKI signifie Managed Public Key Infrastructure (« infrastructure à clés publiques managée/gérée »). C'est une PKI (Public Key Infrastructure — infrastructure à clés publiques) que tu n'héberges pas toi-même : un prestataire externe gère pour toi l'autorité de certification, la sécurité des clés racines et le cycle de vie des certificats. Tu te contentes de demander, déployer et révoquer des certificats via un portail ou une API.
Sur Internet et dans une entreprise, on a besoin de prouver une identité (« ce serveur est bien banque.ch ») et de chiffrer les échanges. Pour cela on utilise des certificats numériques : des fichiers signés qui lient une clé publique à une identité.
Le problème : produire ces certificats de façon fiable exige une PKI, c'est-à-dire :
- une CA (Certificate Authority — autorité de certification) qui signe les certificats ;
- une clé racine ultra-sensible qu'il faut protéger physiquement (coffre, HSM) ;
- des procédures de révocation, de renouvellement, d'audit.
Monter et sécuriser tout ça en interne coûte cher et demande une expertise rare. Une fuite de la clé racine = catastrophe : un attaquant pourrait fabriquer de faux certificats pour n'importe quel domaine.
Le MPKI résout ce problème : déléguer la partie risquée et complexe (CA, clés racines, conformité) à un prestataire spécialisé, tout en gardant le contrôle opérationnel sur tes propres certificats.
- Certificat numérique (X.509) : fichier standard qui contient une clé publique, une identité (nom de domaine, organisation) et la signature d'une CA qui garantit le tout.
- Clé publique / clé privée : paire de clés cryptographiques. La publique est dans le certificat (visible de tous) ; la privée reste secrète sur le serveur. Ce qui est chiffré avec l'une se déchiffre avec l'autre.
- CA (Certificate Authority) : l'autorité de confiance qui signe les certificats. Sa propre clé racine est le point le plus critique de toute la chaîne.
- Root CA / Intermediate CA : la racine (root) signe des CA intermédiaires, qui signent les certificats finaux. On garde la racine hors-ligne pour la protéger ; ce sont les intermédiaires qui travaillent au quotidien.
- Chaîne de confiance : root → intermédiaire → certificat serveur. Ton navigateur fait confiance à la racine, donc à tout ce qu'elle a signé.
- CSR (Certificate Signing Request) : demande de signature que tu envoies à la CA. Elle contient ta clé publique et ton identité ; ta clé privée, elle, ne quitte jamais ton serveur.
- CRL / OCSP : deux mécanismes pour vérifier qu'un certificat n'a pas été révoqué (annulé avant expiration). CRL = Certificate Revocation List (liste publiée). OCSP = Online Certificate Status Protocol (interrogation en temps réel).
- HSM (Hardware Security Module) : boîtier matériel inviolable qui stocke les clés privées de la CA. Le prestataire MPKI s'en occupe pour toi.
- Tu génères une paire de clés sur ton serveur. La clé privée y reste, protégée.
- Tu crées un CSR (clé publique + identité) et tu l'envoies au portail/API du MPKI.
- Le MPKI valide que tu contrôles bien le domaine ou l'identité demandée (validation DNS, e-mail, ou via un compte d'entreprise pré-approuvé).
- La CA gérée signe le certificat avec une CA intermédiaire. Tu récupères le certificat + la chaîne.
- Tu déploies le certificat sur ton serveur web, ton VPN, ta messagerie, etc.
- Renouvellement automatique : avant expiration, le MPKI (souvent via le protocole ACME ou un agent) régénère et redéploie le certificat sans intervention humaine.
- Révocation : si une clé privée est compromise, tu révoques le certificat depuis le portail. Il est ajouté à la CRL / signalé via OCSP, et les clients cessent de lui faire confiance.
graph TD
subgraph Prestataire MPKI
ROOT[Root CA hors-ligne + HSM]
INT[CA intermédiaire]
VAL[Service de validation]
REV[CRL / OCSP]
ROOT --> INT
end
SRV[Ton serveur] -->|1. CSR| VAL
VAL -->|2. validation domaine| INT
INT -->|3. certificat signé| SRV
CLIENT[Navigateur / client] -->|4. ouvre HTTPS| SRV
CLIENT -->|5. vérifie révocation| REV
Une PME de 120 personnes utilise une centaine de services internes (intranet, ERP, VPN, bornes Wi-Fi 802.1X) plus son site public.
Sans MPKI, l'admin sysréseau bricolait des certificats à la main : certains expiraient sans prévenir, provoquant des pannes (« le VPN ne se connecte plus ce matin »).
Avec un MPKI, l'entreprise souscrit chez un prestataire. Désormais :
- Chaque nouveau serveur récupère son certificat via une API + agent ACME en quelques secondes.
- Les renouvellements sont automatiques : plus jamais de panne pour cause de certificat expiré.
- Pour les postes employés, le MPKI émet des certificats clients utilisés en authentification Wi-Fi (802.1X) et VPN — plus solides qu'un simple mot de passe.
- Quand un ordinateur portable est volé, l'admin révoque son certificat en un clic : l'appareil ne peut plus se connecter.
- Ne laisse jamais la clé privée quitter le serveur. Le MPKI ne doit recevoir que le CSR, pas la clé privée.
- Automatise le renouvellement (ACME / agent). Un certificat renouvelé à la main finit toujours par expirer un dimanche soir.
- Surveille les dates d'expiration avec une alerte (supervision), même en automatique : ceinture + bretelles.
- Utilise des durées de vie courtes (90 jours est devenu un standard) : un certificat compromis nuit moins longtemps.
- Active l'OCSP stapling sur tes serveurs : le serveur fournit lui-même la preuve de non-révocation, c'est plus rapide et plus respectueux de la vie privée.
- Documente l'inventaire des certificats (où, pour quel service, qui en est responsable).
Oublier de déployer la chaîne complète (certificat + intermédiaire). Le certificat « marche » sur ton poste mais échoue ailleurs car les clients ne trouvent pas le maillon intermédiaire.
Confondre MPKI et CA publique gratuite (type Let's Encrypt). Le MPKI couvre aussi les certificats internes (clients, serveurs privés, code signing) et apporte gouvernance, audit et support — ce qu'une CA publique gratuite ne fait pas.
Ne pas révoquer un certificat après le départ d'un employé ou la compromission d'un serveur. Tant qu'il n'est pas révoqué, il reste valide et exploitable.
- Le MPKI est une PKI gérée par un prestataire : il s'occupe des CA, des clés racines et du HSM, tu gardes le contrôle de tes certificats.
- Cycle de vie clé : CSR → validation → signature → déploiement → renouvellement auto → révocation.
- Bénéfices : moins de risque (clés racines protégées par un expert), zéro panne d'expiration, gouvernance centralisée.
« La confiance se construit sur une racine bien gardée. » 🔑