Le projet permettant d’obtenir des certificats SSL gratuitement a été lancé en décembre 2015. Trois mois plus tard, la barre du million était franchie, puis 100 millions en juin 2017. Désormais, le milliard est atteint.
Dans le lot, plus de 110 millions de certificats sont actifs et plus de 1,2 million de nouveaux sont délivrés chaque jour. De plus amples statistiques sont disponibles sur cette page.
Commentaires (20)
#1
Et depuis que mon Synology a son certificat Let’s Ecnrypt et plus le certificat auto-signé made-in Synology, plus d’erreur sous Firefox/Chrome, et le proxy/firewall de la boîte me laisse y accéder \o/
#2
J’allais demander s’il existait un bon guide pour ça. J’en ai trouvé un sur un petit site sympa😉
#3
qui est derrière let’s encrypt? car maintenir l’infrastructure doit avoir un certain coup…
D’autre part je serais curieux de voir le suivi qu’il peut y avoir face à la véracité des informations données pour obtenir un certificat signé. Car même si c’est super pratique, ça peut être également un moyen pour des personne malveillantes attirer des victimes sur leurs sites sans éveiller de soupçons.
#4
C’est cool. Malheureusement, mes 2 synology sont trop vieux (DSM 4.x et DSM 5). Je ne m’y suis pas remis depuis quelques temps mais je crois que la prise en charge des certificats Let’s Encrypt n’est disponible qu’à partir de DSM 6.0.
Mais je dois pouvoir importer un certificat valide aussi. Il faut que je me repenche sur la question.
Quelqu’un a-t-il déjà fait ?
#5
Let’s Encrypt demande juste le nom de domaine. Le certificat ne contient aucune information sur le propriétaire (physique ou morale) car cela peut supposer des démarches administratives.
Après, qu’un site “malveillant” soit chiffré ou non reste un site “malveillant”. Le chiffrement d’un site ne le rend pas moins dangereux.
#6
#7
Quelle est la différence entre “Pour madame michu qui va se rappeler que quand y’a un cadenas vert c’est bon je peux faire péter la CB” et “Le chiffrement d’un site ne le rend pas moins dangereux” ?
#8
#9
Je n’irai pas jusqu’à 90 %, ou du moins une partie n’a même pas remarqué qu’Avast a encore installé Chrome et qu’ils ont switché dessus par mégarde (vu que Firefox ressemble physiquement à Chrome, un choix bien évidemment stupide…).
Mais il n’empêche que les vieux réflexes ont la vie dure et si ces personnes voulaient aller ailleurs que sur Amazon, le fait de ne pas voir le cadenas vert est encore un facteur bloquant pour tester la concurrence. Il m’arrive d’expliquer que ce cadenas n’est plus une sécurité.
Ce qui est amusant, est que Google a vendu ce retrait du cadenas comme la preuve que la sécurité sur Internet a augmenté. Au contraire, elle a diminué car ce certificat avait un coût que les sites d’escrocs payaient que très rarement…
#10
Les certificats “non EV” n’ont jamais couté bien cher…
#11
Même à 30 € le non-EV et en ajoutant un hébergement low-cost ainsi qu’une somme inconnue de “publicité” pour se faire connaître, et vu que le site aura une durée de vie courte avant d’être bloqué directement par le navigateur car dénoncé comme à risque, ça fait un coût non négligeable pour une rentabilité non garantie car s’il faut cracher 3⁄4 sites pour chopper un pigeon…
#12
Le vrai problème c’est d’avoir associé le cadena vert à l’idée d’être sur le bon site. Résultat… on en est là maintenant.
" />
Perso j’aurai préféré qu’on reste bien plus en HTTP et conserver le HTTPS pour les phases de paiements etc. Mais entre l’espionite aiguë de nos gouvernements, la revente d’info, les attaques pirates etc. on a du renforcer toute la chaine… et voilà qu’on en est à devoir cacher les requêtes DNS
#13
#14
n’importe quoi! Firefox tu connais? Tu parles de postulats, d’où tu tiens tes sources de pourcentage d’utilisation? on est même plus à la louche dans tes dires, mais à la pelleteuse.
https://www.leptidigital.fr/webmarketing/parts-de-marche-navigateurs-web-10814/
#15
completement d’accord avec toi
#16
#17
Le beau SPOF !
#18
Let’s Encrypt est un projet mené par l’Internet Security Research Group, une organisation californienne d’utilité publique dans laquelle siègent au conseil d’administration des représentants de plusieurs acteurs du Web. (dont OVH d’ailleurs)
Les certificats générés permettent uniquement d’attester que ceux-ci ont été produits pour le nom de domaine concerné. L’enrôlement est fait par divers challenges entre l’autorité et le serveur web qui fait la demande de certificat. C’est le protocole ACME qui gère ça, développé par l’ISRG justement et depuis implémenté par d’autres autorités du marché ainsi que des PKI en remplacement du SCEP.
Côté infra, c’est notamment hébergé chez AWS.
#19
Merci pour les informations!
#20
La décision est effectivement étrange, pour ma part j’aimais bien avoir le certificat EV visible même si ça ne sécurise pas plus ça montre tout de même le sérieux de l’entreprise et une entreprise affichant en certificat EV apporte probablement de l’importance a son image et donc à la sécurisation de son image sur internet et par extension de la sécurité de son site. Let’s encrypt c’est bon pour un site vitrine, un blog, mais pour du e-commerce l’image de sérieux a son importance. cf le nombre de landing page pour des produits “foireux” souvent en anglais (même si le vendeur peut être Français) et sans aucune mention de la société ou de CGV … ils sont mis au même niveau de sécurité que amazon, cdiscount & co, c’est sympa pour eux
" />