20210819 - Dépréciation et disparition du champ OU
De nouvelles restrictions entrent en vigueur pour les champs OU (Organizational Unit) des certificats SSL.
Pourquoi ?
Le 30 juin dernier, le CA/B Forum entérinait le vote SC47V2 prévoyant la dépréciation du champ OU.
Il reste possible d'émettre un certificat contenant un champ OU cependant les règles encadrant le contenu de ce dernier sont dissuasives.
Il n'est autorisé que si un champ Organization Name est également présent, ce qui exclut tous les certificats Domain Validated.
De même, il ne doit pas inclure : nom, nom commercial, adresse, nom de marque ou tout texte faisant référence à une entité physique ou morale à moins que l'autorité n'ait pu vérifier l'exactitude des données.
Il ne sera plus possible d'émettre de certificat SSL contenant un champ OU à partir du 1er septembre 2022.
Quels sont les produits concernés ?
Les certificats Domain Validated
Il est impossible d'émettre de certificat SSL contenant un champ OU pour les certificats DV depuis le 16 août.
Les autres certificats serveur
Le champ OU disparaîtra définitivement de tous les certificats serveur émis après le 1er septembre 2022.
Les autorités de certification
Chaque autorité devra se plier au calendrier cependant certaines d'entre elles ont pris les devants.
DigiCert
Comme indiqué dans un précédent article, DigiCert a décidé de faire disparaître les champs OU de ses certificats en 2020. Cela concernait toutes les autorités du Groupe incluant Thawte et Geotrust.
Sectigo
Les certificats émis par Sectigo ne contiennent plus de champs OU depuis le 1er août 2021. Cela concerne également les certificats serveur TBS X509.
GlobalSign
À partir du 25 juillet les certificats OV et EV émis par GlobalSign le seront, pour la plupart, sans le champ OU. Exception sera faite des certificats commandés chez l'autorité avant cette date et des refabrications. La disparition du champ OU sera complètement effective au 29 août.
Quelles conséquences pour les certificats en cours de validité ?
Aucune. Ces certificats continueront de fonctionner normalement jusqu'à leur expiration.
Mon CSR contient un champ OU, que se passera t-il en cas de refabrication ?
Le CSR pourra être utilisé. L'autorité ignorera simplement le champ OU lors de la fabrication du certificat.