Pourquoi je suis passé à Let's Encrypt

La façon dont on gère les certificats à l’heure actuelle me pose problème. Le principe même de devoir recourir à une instance étrangère pour vérifier l’identité d’un serveur présente, selon moi, un risque pour l’indépendance des éditeurs. Pourtant, je suis passé sur Let’s Encrypt.

Il y a quelques jours, je vous parlais des certificats, et notamment de Let’s Encrypt.

Pour moi, laisser un organisme tiers décider de la validité d’un certificat revient à abandonner notre indépendance. En effet, si nous avons la possibilité de générer des certificats auto-signés, c’est pour pouvoir le faire. Si on peut le faire, faisons-le !

En re-publiant cet article sur LinuxFr.org, je me suis attiré les foudres de ses lecteurs. Cet échange, bien que houleux et m’ayant laissé un goût amer, m’a fait réfléchir à ce qui était le plus important.

Par ailleurs, certains éléments d’actualité me conduisent également à réfléchir différemment. Notamment le cas de Google, qui, dans GMail, va afficher une alerte pour les mails envoyés sans chiffrement.

Bien que l’initiative de Google soit louable, je doute de son intérêt pour les utilisateurs du service. À moins d’être technicien, à quoi bon avertir l’utilisateur que son correspondant utilise un serveur qui ne met pas en œuvre TLS (ou SPF/DKIM) ? La seule chose que cela va provoquer chez l’utilisateur non technicien, c’est la peur.

D’autre part, ma réelle inquiétude est de savoir jusqu’où Google compte aller. Il n’y a qu’un pas à franchir entre afficher une alerte parce que le serveur du correspondant n’utilise pas du tout TLS, et parce qu’il utilise un certificat auto-signé. Surtout qu’en tant qu’entreprise influente, les concurrents pourraient suivre. Je fais un raccourci, mais ça signifierait la mort des serveurs mails auto-hébergés ne souhaitant pas utiliser un service comme Let’s Encrypt.

Oui, c’est une niche, les serveurs mails auto-hébergés utilisant un certificat auto-signé. Mais ils existent, et sont là parce que c’est ça Internet: la liberté pour chacun de faire ce qu’il veut de son informatique.

Or, Google, comme à son habitude, augmente la portée de son droit de vie et de mort sur les petits acteurs insignifiants du net. Mais on s’éloigne quelque peu du sujet.

Suite à cette annonce, et suite à mon billet sur LinuxFr, j’ai décidé de passer à Let’s Encrypt, et du même coup mettre de côté mes principes. La question est: pourquoi ?

Parce que j’écris pour que mon contenu soit lu, qu’on soit d’accord avec moi ou non. Mon objectif est de faire réfléchir. C’est mon utilité sur Internet. Peut être taper à côté sur le plan technique, mais initier une réflexion, encourager à ne pas faire tout et n’importe quoi parce que Google/Apple/facebook dit que c’est comme ça que les choses doivent être faites.

Par conséquent, afin que mes visiteurs ne soient pas dérangés par l’alerte relative au certificat auto-signé (et non invalide), je suis passé sur un certificat Let’s Encrypt. Parce qu’à défaut de m’en passer, je prends ce qu’il y a de moins pire (je sais, encore une remarque qui me vaudra des insultes, peu importe).

Par extension, c’est également ce que j’ai fais sur mon serveur mail, afin de prévenir d’éventuels blocages le jour où les serveurs de mes correspondants décideraient de bloquer les certificats auto-signés.

J’espère simplement qu’un jour, on se rendra compte que pendant des années on a accusé des entreprises comme Google de s’arroger un pouvoir qu’elles n’ont pas à détenir, puis leur donner ce pouvoir parce qu’on a cru ça bon pour le grand public, avant de finalement revenir à un Internet plus authentique et proche de ses valeurs initiales.