Let’s Encrypt : un million de certificats, un changement de nom à venir et OVH en embuscade

Trois mois après le début de la bêta publique, Let's Encrypt fête son premier million de certificats distribués. L'occasion d'un premier bilan et de quelques annonces, de la part de l'ISRG ou de ses différents partenaires.

En bêta publique depuis maintenant quelques mois, Let's Encrypt permet à n'importe qui de créer simplement un certificat SSL/TLS. Chacun peut ainsi en quelques manipulations en rajouter un au site qu'il héberge. Cela passe par le client officiel, mais aussi par d'autres solutions qui utilisent le protocole créé pour l'occasion : ACME (voir notre analyse).

Let's Encrypt déploie ses ailes, notamment en France

Ainsi, de nombreuses sociétés ont déjà mis en place une telle solution, c'est notamment le cas de certains hébergeurs, de Synology à travers son DSM 6.0 ou encore de la Freebox Révolution. Résultat, plus d'un million de certificats ont déjà été distribués et mis en place. Le cap a été dépassé la semaine dernière, comme on peut le voir sur la page dédiée aux statistiques du projet.

Selon le billet d'annonce de l'EFF, cela concerne 2,5 millions de domaines, dont 90 % n'était jusqu'à lors pas accessible via HTTPS. Pour le moment, rare sont ceux qui ont été révoqués puisqu'il est question d'un peu plus de 10 000, soit 0,9 % environ. Après le .com qui occupe le quart des résultats, le .fr est le domaine le plus souvent utilisé (9,55 %) avant le .de (8,82 %), .net (7,2 %), .org (6,08 %) et .ch (2,57 %).

Si la France est si présente, cela est sans doute en partie dû à l'intégration de la Freebox. En effet, malgré une multitude d'implémentations accessibles, c'est ce client qui a été le plus utilisé (6,9 % et plus de 60 000 certificats) après le client « officiel » (55,2 % et près de 500 000 certificats).

Le support arrive (enfin) chez OVH

OVH pourrait d'ailleurs renforcer cette tendance. L'hébergeur, qui est en retrait par rapport à ses concurrents comme Gandi et Infomaniak, a en effet choisi de retarder son intégration de Let's Encrypt. Elle nous avait été annoncée pour janvier, les forums officiels faisaient ensuite état d'une arrivée sous peu, et aux dernières nouvelles plus aucune date n'était prévue.

Mais sur Twitter, le fondateur et directeur technique de la société, Octave Klaba, a profité de l'annonce du millionième certificat pour promettre une mise en ligne d'ici la fin mars, ou le début du mois d'avril. A la clef selon lui, un million de certificats supplémentaires :

Add >1M certificates in 3-4 weeks :) https://t.co/megLemrcNr

— Octave Klaba / Oles (@olesovhcom) 8 mars 2016

L'EFF et l'ISRG mettent quelques détails au clair

Au-delà de l'évolution du chiffre, c'est l'évolution même de Let's Encrypt qui va maintenant être dans tous les esprits. Cela passera par une première étape qui était bien nécessaire : un éclaircissement dans les dénominations et l'hébergement.

En effet, tout le monde utilise le terme Let's Encrypt de manière assez générique alors qu'il s'agit du nom de l'autorité de certification proposée par l'Internet Security Research Group (ISRG). Comme nous l'avions déjà évoqué, elle se base sur un protocole proposé à l'IETF, ACME, et une implémentation de ce protocole en Go, Boulder. Le client majoritairement utilisé est, lui, proposé par l'EFF et utilise Python.

Ainsi, en avril, ce client de l'EFF sera uniquement hébergé par la fondation et les clients de manière générale changeront de nom afin de mieux se démarquer de l'autorité de certification. D'autres peuvent en effet créer la leur et interagir avec ces clients en se basant sur le protocole ACME et donc proposer un service proche de Let's Encrypt, de manière différenciée.

« Nous pensons qu'il serait mieux pour Let's Encrypt de se focaliser sur la promotion d'un écosystème client/protocole sain et pour le client de se déplacer vers l'EFF. Cela nous permettra aussi de focaliser l'effort de nos équipes sur la construction d'une architecture fiable et en croissance forte pour notre activité de CA » a ainsi précisé Josh Aas, directeur exécutif de l'ISRG. 

Le client de l'EFF va continuer son évolution pour rester le plus utilisé

De son côté, l'EFF va donc continuer à faire évoluer son client, dont le nouveau nom reste à définir. La fondation espère ainsi que ce sera toujours une référence pour Let's Encrypt et promet de nombreuses nouveautés dans les semaines qui viennent. Les versions 0.5.0 et 0.6.0 vont ainsi se focaliser sur la mise en place d'un renouvellement automatisé et le support de Nginx à travers la première version d'un plugin dédié.

Sur un plus long terme, des éléments largement demandés devraient arriver comme la détection de vulnérabilités dans l'implémentation du certificat, la détection des cas de contenus mixés ou d'un site paré pour le déploiement de HSTS, etc. Mais c'est sans doute à travers la concurrence de la diversité de clients que chacun finira par trouver son bonheur.

Let's Encrypt n'en est qu'à ses débuts et rencontre déjà de très bons résultats, mais l'année qui vient sera cruciale pour son évolution et la propagation de l'accès HTTPS pour une majorité de sites web, qui rencontre encore de fortes réticences de la part des plus gros sites qui résistent encore, malgré les incitations de Google et du fait d'acteurs du secteur publicitaire qui ont du mal à se mettre à la page malgré les recommandations de l'IAB.