Modifications à venir concernant les racines TLS et les profils de certificats

17 oct. 2025

Modifications à venir concernant les racines TLS et les profils de certificats

Résumé des modifications  

Mozilla et Chrome ont annoncé des changements qui nécessitent des modifications des certificats racines utilisés par GlobalSign et des profils de certificats TLS pour les offres de certificats TLS publiquement reconnus.  Cet article décrit l'origine de ces nouvelles exigences et notre calendrier pour nous y conformer.  

Annonces  

• Annonce de Mozilla concernant la suppression des racines datant de plus de 15 ans.  

• Politique de Mozilla relative au magasin de certificats racine.  

• Politique du programme racine Chrome.  

• Vote SC-81 du CAB Forum visant à réduire la durée de validité maximale à 200 jours à compter de mars 2026.  

Calendrier de suppression de la confiance par Chrome et Mozilla en fonction de l'ancienneté de la racine  

Chrome et Mozilla ont récemment annoncé leur intention de ne plus faire confiance aux anciens certificats racines TLS, en se basant sur leur date de création. 

Calendrier de Mozilla et Chrome pour le passage aux racines dédiées TLS  

Chrome et Mozilla ont défini des échéances pour la transition vers des racines dédiées exclusivement au TLS.  Actuellement, les racines utilisées par Globalsign (R3, R5, R6) sont des racines multi-usages qui sont utilisées pour la messagerie sécurisée, la signature de code et d’autres cas d’usage. En 2019, GlobalSign a créé deux racines dédiées TLS, l'une avec des clés RSA, R46, et l'autre avec des clés ECC, E46.  Pour consulter la liste complète des certificats racines de GlobalSign, veuillez consulter cette page. 

Les exigences les plus strictes proviennent du programme de conformité de Chrome (Chrome Root Program Policy). Selon nos plans d’émission actuels, la contrainte SCTNotAfter sera appliquée à toutes les racines multi-usages de GlobalSign dans un délai de 90 jours à compter du 15 juin 2026. Concrètement, cela signifie que tous les certificats émis sous l’une des racines multi-usages de GlobalSign avant le 13 septembre 2026 seront considérés comme valides pendant toute leur durée de vie. En revanche, tout certificat émis après cette date ne sera plus reconnu comme fiable par Chrome.  

Modifications du profil de certificat TLS sur Chrome  

En plus de la suppression des racines et/ou de l'application de la contrainte SCTNotAfter, Chrome a précisé que les certificats TLS émis sous des racines TLS dédiées doivent uniquement contenir l'usage étendu de clé ServerAuth (EKU). Cela signifie que tous les autres EKU, y compris l'EKU ClientAuth couramment utilisé, ne seront plus autorisés sous des racines TLS dédiées. Nous recommandons d'utiliser le produit IntranetSSL pour l'émission de certificats TLS avec des capacités d'authentification client. 

Résumé  

Compte tenu de toutes les références ci-dessus, GlobalSIgn continuera à émettre des certificats TLS avec les EKU ServerAuth et ClientAuth qui seront considérés comme fiables pendant toute leur durée de validité de 200 jours sous nos racines polyvalentes jusqu'en août 2026 ; Cependant, nous prévoyons de réaliser cette transition avant cette date afin d'éviter tout problème imprévu de dernière minute.  Voici un plan plus détaillé : 

Pour les clients Atlas :  

• À partir de la rotation CA du troisième trimestre 2025 (le 8 juillet 2025, selon notre calendrier publié ici), un nouvel ensemble de CA sous nos racines dédiées TLS sera créé et disponible pour une utilisation facultative.  
   
  Les clients qui souhaitent tester les certificats TLS émis à partir des racines dédiées TLS peuvent le faire en utilisant les liens de test disponibles dans l'article d'assistance sur les certificats racine GlobalSign sous la racine applicable.  

• toutes les émissions TLS seront transférées vers les racines dédiées TLS. Nous fournirons des certificats croisés R3-R46 et R5-E46 qui offriront aux navigateurs et aux applications une chaîne remontant jusqu'à R3 et R5 pour une ubiquité optimale.  

Pour les clients Atlas qui n'ont pas nécessairement besoin d'une prise en charge par les navigateurs, nous recommandons vivement d'utiliser notre offre IntranetSSL qui permet une plus longue validité des certificats, une réutilisation plus longue des domaines, l'absence de vérifications CAA et une confidentialité supplémentaire puisque les certificats ne sont pas publiés dans les journaux CT.  

Pour les clients GCC :  

• Au quatrième trimestre 2025, un nouvel ensemble de CA MSSL OV/EV sera créé pour une utilisation facultative. Toutes les émissions seront transférées au troisième trimestre 2026.  

• Le 27 juillet 2026, les produits grand public et partenaires seront transférés vers des autorités de certification TLS racines dédiées.  

Pour nos clients Entreprise qui n'ont pas nécessairement besoin d'une prise en charge par les navigateurs, nous recommandons vivement d'utiliser notre offre IntranetSSL qui permet une plus longue validité des certificats, une réutilisation plus longue des domaines, l'absence de vérifications CAA et une confidentialité supplémentaire puisque les certificats ne sont pas publiés dans les journaux CT.  

Produits concernés :  

• TLS : DV, OV, EV  

• MSSL : OV, EV