[NicolasFR]

mouais, enfin un site pro avec paiement en ligne qui me présente un certificat let's encrypt je ne serai pas rassuré perso.
Je ne parle pas du cryptage de la connexion mais de l'identité et du sérieux de la société qui gère le site.

Après pour des particuliers ou des backend (genre phpmyadmin) c'est parfait.

Mouais, enfin 95% des utilisateurs lambda en auront rien à faire voire savent même pas que le site utilise subitement du SSL...
Quand tu payes en CB dans un supermarché, tu vas voir la salle réseau pour t'assurer que les serveurs sont correctement sécurisés (vu les systèmes sur lesquels certains tournent...) ?

[Olimaru]

Je ne parle pas du cryptage de la connexion mais de l'identité et du sérieux de la société qui gère le site.

Voici un petit retour d’expérience sur l’achat d’un certificat EV niveau top moumoute, avec nom de l’entreprise en vert et tout le reste. À méditer avant d’acheter…

[sich]

mouais, enfin un site pro avec paiement en ligne qui me présente un certificat let's encrypt je ne serai pas rassuré perso.
Je ne parle pas du cryptage de la connexion mais de l'identité et du sérieux de la société qui gère le site.

Après pour des particuliers ou des backend (genre phpmyadmin) c'est parfait.

[Olimaru]

c'est tout simplement interdit par les conditions de letsencrypt (je crois…)

Ce serait bien de se renseigner avant de sortir une telle ineptie, même avec un « je crois ».

Let’s Encrypt est parfait pour le but qu’il s’est fixé : https partout. On n’a plus besoin de se demander si ça vaut le coup de sécuriser un sous-domaine : une ligne de crontab et c’est réglé, gratuitement, on n’a plus besoin de s’en occuper (bien sûr, les bons administrateurs système, paranoïaques comme il se doit, programmeront une alarme en cas d’échec du renouvellement, ce qui se produit régulièrement tous les 32 du mois). Les certificats sont directement reconnus par tous les principaux navigateurs. Après, si on veut des garanties supplémentaires et afficher des nounours qui dansent la macarena dans la barre d’adresse du navigateur, il y a d’autres types de certificats pour ça. Ils sont beaucoup plus chers pour… pas grand-chose, finalement, quand on voit comment les vérifications sont effectuées et sur quoi repose le système.

[Nowwhat]

Indirectement lié a ce sujet : dès que vous avez un certificat, le travail n'est pas encore fini.

Test votre installation avec, par exemple, https://www.ssllabs.com/ssltest/

Le but est d'avoir un double A+.

edit : PS : https://community.letsencrypt.org/t/...estions-faq/26 == intéressant, à suivre de très près.

[GaryGate]

https://letsencrypt.org/2015/12/21/ovh-sponsorship.html

[janus57]

Bonjour,

oui c'est une bonne chose et les 90jours ne doivent (en théorie) pas gêner, sauf quand cela "détruit" une protection (voir page 1) ou du moins n'est pas compatible.

Enfin en tous cas c'est bon de savoir que tout ça fait baisser les prix des certificats SSL, globalement c'est quand même du vol...

pour un simple particulier ou personne "lambda" oui, pour une entreprise qui a un jolie certificat EV, oui et non.

Mais globalement cela entraine bien la chute des prix, donc c'est un plus pour les entreprises.

Perso je laisse Letsencrypt de côté encore quelques mois voir 1an pour voir comment il va évoluer (il est quand même soutenu par une société qui fait des certificats payant et qui lui à "offert" le certificat racine compatible tous navigateur donc…).

En tout cas oui pour une entreprise faut éviter LE ou les certificat gratuit.

Pour un particulier, que ce soit LE ou les certificat gratuit (startcom ou autre) ou des certificat à "petit prix" allez mais pas trop vite c'est que le début.

Cordialement, janus57

[Daixiwen]

J'avais zappé l'aspect commercial mais à ma décharge le certificat à 12 euros chez Gandi ou le gratos chez Startssl c'est du même niveau. Vérifications automatiques et pas adapté à un site commercial.
En ce qui concerne les 90 jours je ne vois pas en quoi ça fait moins "pro". Letsencrypt est fait pour être renouvelé automatiquement (ils recommandent tous les 60 jours) sans intervention de l'admin, donc la durée du certificat n'a pas vraiment d'impact. Franchement Startssl même si c'est qu'une fois par an je n'aime pas quand il faut renouveler, il y a toujours un tas d'opérations à faire sur leur site.
De plus si tu te fais voler ta clef, avec un certificat de 90 jours max tu limites la casse. Chez Startssl la révocation d'un certificat est payante, même (surtout!) pour les certificats gratuits.

Enfin en tous cas c'est bon de savoir que tout ça fait baisser les prix des certificats SSL, globalement c'est quand même du vol... La prochaine étape ce sont les certificats pour le code signing

[janus57]

Je ne vois pas bien l'intérêt de ces certificats gratuits : un certificat "self signed" est bien suffisant si on veut simplement protéger son anonymat.

Bonjour,

reconnu par 99% des navigateur, donc si on veux avoir un petit blog ou autre perso 100% HTTPS sans devoir se heurter au message de sécurité c'est l'idéal (mis à part startcom).

Le problème su "self signed" pour le grand public c'est le message d'erreur, et pour les personne un peu plus "pointu" c'est l'impossibilité de vérifier si il a été modifié ou non par un hacker (sauf à ce que l'auteur distribue le fingerprint d'origine et que l'on "s'amuse" à le vérifier).

Cordialement, janus57

[jvieille]

Je ne vois pas bien l'intérêt de ces certificats gratuits : un certificat "self signed" est bien suffisant si on veut simplement protéger son anonymat.

[janus57]

a vrai de plus près : est-ce qu'on peut faire confiance à letsencrypt pour un site marchand ?

Bonjour,

c'est tout simplement interdit par les conditions de letsencrypt (je crois…, nop c'est faux, par contre 0 vérifications mis à part le domaine et pas de EV), et bon 90jours de validité ça fait pas très "pro" pour un site commercial…

Le but de letsencrypt est de proposer des SSL gratuit pour les particulier/assos ou Mr/Mme tout le monde. C'est pas prévu pour des entreprise ou autre qui eu nécessite d'avoir un SSL avec des garantie et surtout un SSL qui nécessite une vérification d'identité (et là c'est partout pareil, si un site vous vend en SSL "commercial" sans vérifier quoi que ce soit c'est pas un "bon" SSL pour le site marchand).

EDIT :
voir le tableau gandi plus haut, cela montre bien les différence entre particulier/entreprise/entreprise qui veux la barre verte de confiance

EDIT 2 :
D'ailleurs cela semble faire baisser le prix des SSL globalement, maintenant pour un site "personnel" on trouve à 4-8$
Cf : https://www.ssls.com/ssl-certificate...do-positivessl

Cordialement, janus57

[jvieille]

a vrai de plus près : est-ce qu'on peut faire confiance à letsencrypt pour un site marchand ?

[janus57]

Sinon il y a maintenant Let's Encrypt qui est gratuit et qui utilise des scripts pour le renouvèlement automatique des certificats.

Bonjour,

à coup de 90jours de certificat et non valide pour les sites commerciaux ou sites avec des systèmes de paiements (dons inclus ?).

Perso je suis pas "séduit" par letsencrypt, si je veux un certificat gratuit sans me casser la tête je vais chez startcom pour le moment (1an de validité).

P.S. letsencrypt par exemple n'est pas compatible avec "HPKP" si on veux vraiment faire du "bon" SSL bien "blindé".

Cordialement, janus57

[jvieille]

Merci pour les tuyaux, dommage pour OVH

[Daixiwen]

Sinon il y a maintenant Let's Encrypt qui est gratuit et qui utilise des scripts pour le renouvèlement automatique des certificats.

[janus57]

Bonjour,

peu y en avoir plusieurs, mais pour rester chez un FR je driaais bien Gandi même si j'ai jamais testé : https://www.gandi.net/ssl/compare

Cela commence à 12,24€ TTC/an (si on prend sur 3ans directement, soit 36.72€TTC), soit pratiquement 2x moins cher que le SSL mutualisé sur 1an =)

Cordialement, janus57

[jvieille]

Je suis chez StartCom, mais c'est extrêmement compliqué chez eux, je me prends la tête à chaque fois pour les renouvellements.
Quel fournisseur à prix raisonnable potentiellement plus facile à gérer?

[janus57]

Bonjour,

oui c'est uniquement en mutu et d'un côté c'est pas plus mal car chez un revendeur de genre de certificat on en a pour 20/30€.

Cordialement, janus57

[jvieille]

Ce n'est dispo qu'en mutu?
Aucune entrée dans le manager pour commander, le support a l'air embarassé