20240920 - DCV email - Vers la fin de l'utilisation des adresses du WHOIS
Pour rappel, la validation DCV par mél permet l'utilisation :
- d'une liste d'adresses mél liées aux domaines à sécuriser, et définie par l'autorité de certification : admin, administrator, webmaster, hostmaster et postmaster @domaine.fr
- des adresses méls présentes dans l'enregistrement du domaine (WHOIS)
Or, un chercheur a récemment démontré comment un gestionnaire de gTLD négligeant avait mis en risque la sécurité du WHOIS de ce gTLD. Le CA/B forum a rapidement conclu que la méthode WHOIS présentait un risque et qu’il convenait de le retirer des méthodes admissibles pour le DCV.
Quelles conséquences ?
Une proposition de vote a été soumise au CA/B Forum visant à interdire l'utilisation des adresses méls trouvées au WHOIS lors de la validation DCV.
Cette proposition sera mise au vote dans les prochaines semaines pour une interdiction effective au 1er novembre 2024.
Les changements à venir
Ce vote a 2 objectifs :
- interdire l'utilisation des adresses méls inscrites au WHOIS lors de la validation DCV
- interdire la ré-utilisation de la validation du domaine si cette dernière était basée sur un DCV mél qui qui utilisait une adresse mél du WHOIS
Quel impact pour vos certificats en cours de validité ?
Aucun. ces certificats resteront valides jusqu'à leur expiration.
Cependant si une refabrication était nécessaire et que la précédente validation DCV avait été réalisée via une adresse mél trouvée au WHOIS, alors une nouvelle validation DCV sera demandée.
Ce vote at-il des chances de passer ?
Oui en tout cas en partie. Il se peut également que le calendrier soit revu mais cette interdiction sera mise en place à terme, il faut donc s'y préparer.