Visiblement, Vivaldi est inconscient des certificats révoqués. (ça peut valoir le coup de faire remonter ça aux devs)

Mais il affiche tout de même une indication de sécurité insuffisante. Je crois me souvenir que dans les dernières versions ils ont commencé à mettre plus de granularité dans le contrôle de sécurité des sites, plutôt que de dire “oui tout vert” et “non tout rouge”.



Firefox et Opera (sous Chromium, lui aussi) interdisent direct l’accès. Vu qu’Opera et Vivaldi ont la même base, ce doit être une config de Chromium qui n’a pas été bien faite je suppose.



Personnellement j’aurai une préférence pour l’entre-deux : un avertissement et me laisser en toute conscience (ou inconscience) choisir d’aller sur le site ou non. Ce doit être parce que je préfère l’éducation au dogme.



Néanmoins vu ce comportement, je rejoins ton avis sur le fait qu’une révocation de certificat peut-être plus radicale comme blocage.



Edit : visiblement ce doit être ma config du navigateur car sur une autre instance sous WIndows il bloque l’accès.

Dans la mesure où c’est explicitement indiqué, comme ici sur le console de gestion, je ne vois pas où est le problème.



Le but d’une bêta est de recueillir le plus de retours en vue d’une version finale stable. Dans le cas de Let’s Encrypt, les partenariats avec des hébergeurs qui proposent d’utiliser le service à leurs clients est une excellente source de retours.

En l’état, dans le cas qui concerne Informaniak, les clients sont :

• informés
  


• volontaires
  


• libres d’utiliser leur propre certificat
  
  
  
  Tout comme les certificats sont basés sur la confiance (vu qu’on parle “d’autorité de confiance” car les navigateurs modernes rejettent les certificats auto signés avec un gros message anxiogène comme il faut), ici il faut avoir confiance dans son hébergeur et dans l’autorité Let’s Encrypt.
  
  
  
  De base, un hébergeur peu scrupuleux ne fait pas long feu. J’en ai connu personnellement un pour avoir été client chez lui et ça a vite mal fini. (Ca doit être l’une des dernière fois de ma vie que j’ai uniquement regardé le prix comme critère de sélection.)
  
  Là on parle quand même de trois hébergeurs connus, et reconnus.

Jarodd a écrit :



Je parlais bien sûr du principe. Aujourd’hui ceux qui le proposent sont sérieux, demain ce ne sera pas forcément le cas.







Tout le fait que j’ai utilisé plusieurs fois le mot : “confiance”.



Toute la chaîne de sécurité repose sur la confiance que les intermédiaires s’accordent entre eux.

127.0.0.1 a écrit :



Ca repose surtout sur l’inclusion des Root Certificate dans les browser web, qui dans ce cas affichent glorieusement le cadenas sans poser de question anxiogène a l’utilisateur.



Pour Let’s Encrypt, ca signifie l’inclusion de ISRG Root X1 dans Chrome et autres. Et en attendant, ils ont pris soin d’avoir un Cross Signing avec un autre Root Certificate déjà intégré (IdenTrust).



–>https://letsencrypt.org/certificates







C’est le côté désolant de cette histoire, d’où le fait que je critiquais ce rejet des “auto signés” avec le message anxiogène derrière…

Surtout que les autorités qui se sont fait pirater et détourner leurs clés, c’est déjà arrivé…



C’est con que le navigateur casse lui-même la chaîne de confiance en imposant ses propres choix à l’utilisateur, rassuré par la présence du petit cadenas…