Résumé

  • Let’s Encrypt a annoncé le passage de quatre à six points de vérification distants le 15 octobre. Le 27, elle a confirmé leur utilisation en préproduction. Le centre principal ajoute une septième requête.
  • Le CA/Browser Forum autorise un résultat divergent avec deux à cinq points distants, puis deux avec six ou davantage. Les réponses qui confirment doivent venir de deux régions RIR. La production est prévue le 10 novembre si les essais réussissent.

Un vote sur la route vers le domaine

Un administrateur place la réponse demandée sur son serveur. Il ouvre la page depuis son bureau : elle marche. Puis le renouvellement automatique échoue. Ce scénario illustre l’écart que la vérification à distance doit trancher. Un validateur dont la route a été détournée peut voir une réponse différente de celle reçue ailleurs. Le navigateur acceptera plus tard le certificat signé; il ne verra pas le trajet emprunté par le validateur.

La vérification depuis plusieurs réseaux confronte ces trajets. Un point principal établit le résultat du contrôle du domaine ou de la vérification CAA. Les points éloignés regardent s’ils obtiennent le même résultat. Le message de Let’s Encrypt du 15 octobre annonce deux nouveaux points, pour passer de quatre à six. La mise à jour du 27 confirme six points en préproduction. Let’s Encrypt vise le 10 novembre pour la production, après un essai concluant. Le fil consulté ne contient pas encore de confirmation de cette bascule.

Pourquoi six ? Les règles du CA/Browser Forum exigent au moins quatre points distants depuis le 15 juin 2026. Le minimum passera à cinq le 15 décembre. Autre condition : les réponses positives doivent venir d’au moins deux régions de service RIR. On peut installer six machines sur une carte et rater ce test si toutes les réponses positives viennent de la même région.

Le sixième siège modifie le résultat

Le tableau de quorum autorise un seul résultat divergent avec deux à cinq points distants. Avec six, il en autorise deux. Prenons six points : quatre confirment la réponse du centre principal, deux ne la confirment pas. Le certificat peut sortir si les quatre voix positives respectent aussi la règle des deux régions. Avec cinq points, quatre confirmations seraient également nécessaires, mais un seul point pourrait diverger. Le sixième point sert donc à absorber une deuxième erreur. Il ne remplace aucune des quatre confirmations de cet exemple.

Encore faut-il que les points soient distincts. La règle fixe au moins 500 kilomètres à vol d’oiseau entre deux perspectives. Les points distants doivent aussi être séparés du point principal et les uns des autres dans le quorum. Si l’autorité emploie un groupe pour le domaine et un autre pour CAA, chaque groupe doit passer son propre test. Un cache DNS commun ne crée pas plusieurs témoins. Lors d’une nouvelle tentative, les confirmations anciennes sont abandonnées. On recommence le vote au lieu de garder les cartes favorables.

Le fil opérationnel de 2024 documente le passage à quatre perspectives distantes en production le 27 mars de cette année-là. Le fil de 2026 documente l’étape suivante en préproduction. Let’s Encrypt associe l’extension à une meilleure résistance aux détournements BGP. Les règles donnent à cette intuition une forme exécutable : un seul chemin trompé doit rencontrer d’autres observations et le critère des deux régions.

Qui signe le refus ?

Le CA/Browser Forum écrit que l’autorité ne doit pas délivrer de certificat lorsque le quorum ou la condition régionale échoue. Pour un site dont le renouvellement est automatisé, cette phrase est une décision opérationnelle. Le défi peut répondre correctement depuis le serveur du propriétaire et échouer depuis une perspective distante. Un certificat peut alors être refusé alors que l’administrateur voit sa page s’ouvrir parfaitement depuis son bureau.

Les règles autorisent une nouvelle tentative immédiate, éventuellement avec une autre méthode. Cette tentative repart de zéro pour les corroborations. C’est à Let’s Encrypt de distinguer, dans ses propres diagnostics, une réponse de défi incorrecte, un chemin inaccessible, une interdiction CAA et un quorum régional raté. Les amalgamer derrière « validation échouée » rendrait le refus impossible à traiter pour l’exploitant du site et difficile à auditer pour l’autorité.

Le fil public vérifié ne donne ni taux d’échec en préproduction, ni distribution des délais, ni nombre de renouvellements touchés. Une annonce datée de mise en production, suivie de résultats agrégés sur les désaccords et les refus, permettrait de juger ce que coûte le sixième témoin. Pour l’heure, la donnée certaine est une préproduction passée à six et une date de production annoncée sous condition.

Le pouvoir est partagé de façon très concrète. Le Forum fixe le seuil. L’autorité choisit et exploite les perspectives. Le demandeur supporte le refus. Un certificat valide est la trace finale de ce partage ; le quorum qui l’a rendu possible reste la décision décisive.