Certificats SSL compromis : ce que les PME doivent faire
Des certificats SSL de l'autorité eMudhra ont été compromis. Voici pourquoi cela concerne votre PME et les actions à mener sans attendre.
Imaginez que le cadenas qui sécurise la porte de votre boutique soit fabriqué avec une clé que n'importe qui peut copier. C'est exactement ce qui vient de se passer avec des certificats SSL émis par l'autorité de certification eMudhra. Des chercheurs en sécurité ont découvert que certaines clés privées associées à ces certificats étaient trop faciles à deviner — autrement dit, un cybercriminel motivé aurait pu les reconstituer et se faire passer pour votre site web. Si votre PME utilise un certificat SSL/TLS signé par eMudhra, vous êtes potentiellement concerné. Pas de panique, mais une action rapide s'impose.
Un certificat SSL, c'est quoi exactement ?
Quand vous visitez un site web dont l'adresse commence par « https:// », le petit cadenas affiché dans votre navigateur signifie que la connexion est chiffrée et sécurisée. Ce cadenas, c'est le certificat SSL (ou TLS, son successeur moderne). Concrètement, il joue deux rôles essentiels pour votre entreprise. D'abord, il chiffre les données échangées entre votre site et vos visiteurs : mots de passe, coordonnées bancaires, informations de contact. Ensuite, il prouve l'identité de votre site : vos clients savent qu'ils communiquent bien avec vous et non avec un imposteur. Ce certificat est délivré par des organismes appelés autorités de certification — des tiers de confiance reconnus par les navigateurs comme Chrome ou Firefox. eMudhra est l'une de ces autorités, basée en Inde. Lorsqu'une autorité est compromise, c'est toute la chaîne de confiance qui vacille.
Pourquoi cette faille eMudhra compromis menace la confiance de vos clients
La sécurité HTTPS de votre entreprise repose sur un principe simple : vos clients vous font confiance parce qu'une autorité reconnue a vérifié votre identité et signé votre certificat. Si les clés privées de ces certificats sont devinables, un attaquant peut créer un faux certificat à votre nom et intercepter les communications entre votre site et vos clients — sans que personne ne s'en aperçoive. C'est ce qu'on appelle une attaque de type « man-in-the-middle ». En pratique, cela signifie qu'un pirate pourrait lire des formulaires de contact, intercepter des identifiants de connexion, ou même détourner des paiements. Pour votre réputation, les conséquences sont lourdes : un client dont les données sont compromises ne revient pas, et dans certains cas, vous êtes légalement responsable au regard du RGPD. La compromission d'un certificat SSL PME n'est donc pas un problème purement technique — c'est une menace directe sur la confiance que vous avez mis des années à construire.
Comment savoir si votre entreprise est concernée ?
Première question à poser : quel est l'émetteur de votre certificat SSL actuel ? Cette information est accessible en quelques secondes. Sur votre navigateur, cliquez sur le cadenas à gauche de l'adresse de votre site, puis sur « La connexion est sécurisée » et enfin sur « Le certificat est valide ». Une fenêtre s'ouvre : cherchez le champ « Émis par » ou « Autorité ». Si vous lisez « eMudhra » ou « eMudhra Consumer Services Limited », vous devez agir immédiatement. Si vous voyez des noms comme Let's Encrypt, DigiCert, Sectigo, GlobalSign ou Comodo, votre certificat n'est pas directement affecté par cette faille — mais l'occasion est bonne pour vérifier sa date d'expiration. Si vous n'êtes pas sûr de ce que vous voyez, faites une capture d'écran et transmettez-la à votre prestataire informatique ou à votre hébergeur web : c'est leur rôle de vous guider.
Ce que vous pouvez faire dès maintenant
1. Vérifiez l'émetteur de votre certificat SSL dès aujourd'hui en suivant les étapes décrites ci-dessus. Notez le nom de l'autorité, la date d'émission et la date d'expiration.
2. Contactez votre prestataire IT ou votre hébergeur web dans les 24 heures. Montrez-leur cet article et demandez-leur explicitement : « Mon certificat SSL est-il émis par eMudhra ? Si oui, que fait-on ? » Un bon prestataire saura répondre et agir.
3. Si votre certificat est bien signé par eMudhra, demandez son remplacement immédiat par un certificat émis par une autre autorité reconnue. Des alternatives fiables et souvent gratuites existent, comme Let's Encrypt. Un certificat SSL PME de remplacement peut être déployé en quelques heures.
4. Signalez l'incident à la CNIL si vous pensez que des données de clients ont pu être exposées. En tant que responsable de traitement au sens du RGPD, vous avez 72 heures pour notifier toute violation de données personnelles.
5. Profitez-en pour mettre en place une alerte de renouvellement automatique. Un certificat SSL expiré ou compromis affiche un avertissement rouge dans le navigateur de vos clients — une image désastreuse pour votre crédibilité. Demandez à votre prestataire de configurer un renouvellement automatique et de vous alerter 30 jours avant chaque expiration. La sécurité HTTPS de votre entreprise ne doit pas dépendre d'une vérification manuelle annuelle.