Un certificat, soit tu le demandes / renouvelles à la main, soit automatiquement (protocole ACME, l'utilisation la plus connue est Let's Encrypt).
Il faut s'assurer qu'il marche au déploiement (ie. bien déployé, correctement, et initialement valide).
Ensuite il est souvent stocké quelque part, et utilisé. Et donc il faut surveiller les certificats stockés (fichier, dans git, etc.) pour voir s'ils vont expirer et agir en amont, mais aussi les certificats actifs, pour savoir si on a bien déployé les bons et s'ils vont bientôt expirer. Et réagir à l'expiration à venir doit être suffisamment rapide pour gérer la demande du nouveau certificat (validation éventuelle, paiement, etc.) et son déploiement avant l'expiration.
Et si tout est automatisé, il faut surveiller l'automatisation pour s'assurer que ça marche.
Quand les périodes de validité sont longues, on se retrouve avec des incidents tous les ans ou les deux ans car l'automatisation n'est pas en place, que les équipes ont changé entre-temps, etc. Plus les périodes sont courtes, plus soit tu automatises, soit tu as une armée de personnes pour suivre la cadence, soit tu as beaucoup d'incidents.
(et des certificats il y en a utilisés par des tas de logiciels différents pour des protocoles différents, donc la supervision peut être assez variée aussi, et puis il y a plein de cas plus compliqués comme le même domaine avec une IP intranet et un certificat d'une autorité interne et aussi une IP internet et un certificat d'une autorité publique, et il faut superviser les deux du coup, etc.).
Pour revenir à la question : des sites pas visibles (au sens ton navigateur ne voudra pas y aller sauf à lui dire que tu sais ce que tu fais), éventuellement des pertes financières et des données (oups on n'a pas effectué le virement car votre certificat était expiré et que notre client n'a pas voulu transmettre, oups on n'a pas reçu vos données car notre certificat était expiré et que votre client n'a pas voulu transmettre, etc.). Et un besoin de mettre "plus souvent" à jour les certificats de autorités aussi, donc potentiellement une fin de vie plus rapide des vieux téléphones mobiles (et autres équipements devenus sans suivi) si personne ne peut leur fournir des mises à jour.
[^] # Re: Des explications ?
Posté par Benoît Sibaud (site web personnel) . En réponse au lien Réduction de la durée maximale de validité des certificats de 398 à 47 jours approuvée. Évalué à 9.
Un certificat, soit tu le demandes / renouvelles à la main, soit automatiquement (protocole ACME, l'utilisation la plus connue est Let's Encrypt).
Il faut s'assurer qu'il marche au déploiement (ie. bien déployé, correctement, et initialement valide).
Ensuite il est souvent stocké quelque part, et utilisé. Et donc il faut surveiller les certificats stockés (fichier, dans git, etc.) pour voir s'ils vont expirer et agir en amont, mais aussi les certificats actifs, pour savoir si on a bien déployé les bons et s'ils vont bientôt expirer. Et réagir à l'expiration à venir doit être suffisamment rapide pour gérer la demande du nouveau certificat (validation éventuelle, paiement, etc.) et son déploiement avant l'expiration.
Et si tout est automatisé, il faut surveiller l'automatisation pour s'assurer que ça marche.
Quand les périodes de validité sont longues, on se retrouve avec des incidents tous les ans ou les deux ans car l'automatisation n'est pas en place, que les équipes ont changé entre-temps, etc. Plus les périodes sont courtes, plus soit tu automatises, soit tu as une armée de personnes pour suivre la cadence, soit tu as beaucoup d'incidents.
(et des certificats il y en a utilisés par des tas de logiciels différents pour des protocoles différents, donc la supervision peut être assez variée aussi, et puis il y a plein de cas plus compliqués comme le même domaine avec une IP intranet et un certificat d'une autorité interne et aussi une IP internet et un certificat d'une autorité publique, et il faut superviser les deux du coup, etc.).
Pour revenir à la question : des sites pas visibles (au sens ton navigateur ne voudra pas y aller sauf à lui dire que tu sais ce que tu fais), éventuellement des pertes financières et des données (oups on n'a pas effectué le virement car votre certificat était expiré et que notre client n'a pas voulu transmettre, oups on n'a pas reçu vos données car notre certificat était expiré et que votre client n'a pas voulu transmettre, etc.). Et un besoin de mettre "plus souvent" à jour les certificats de autorités aussi, donc potentiellement une fin de vie plus rapide des vieux téléphones mobiles (et autres équipements devenus sans suivi) si personne ne peut leur fournir des mises à jour.