Profils de certificat S/MIME

Cet article décrit les exigences à remplir par chaque certificat d'une chaîne X.509 pour qu'elle puisse être utilisée en toute sécurité avec des e-mails chiffrés ou signés avec S/MIME.

En plus de répondre à ces critères, la chaîne doit être rattachée à un certificat de l'autorité de certification (CA) explicitement approuvé par Google à cette fin. Vous pouvez également choisir d'accepter les certificats racines des autorités de certification que vous jugez fiables. Pour en savoir plus, consultez les consignes relatives aux certificats racines.

Remarques :

  • Google fournit et gère une liste de certificats CA approuvés par Gmail pour S/MIME. La liste des autorités de certification est approuvée à la seule discrétion de Google. Google se réserve le droit de supprimer des autorités de certification racine à tout moment sans préavis.
  • Assurez-vous que les extensions installées n'en contredisent pas d'autres dans le même certificat. Par exemple, si les extensions nsCertType sont définies, elles doivent couvrir exactement les mêmes utilisations que les extensions d'utilisation de la clé, d'utilisation étendue de la clé et de contraintes de base.

Règles relatives aux chaînes de certificats

Certificat émanant d'une autorité de certification racine

Champ Valeur

Nom distinctif de l'émetteur

Doit identifier l'autorité de certification.

Par exemple, le nom distinctif ne doit pas être une valeur générique comme "Autorité de certification".

Nom distinctif de l'objet

La forme chiffrée doit être identique au nom distinctif de l'émetteur, à l'octet près.

Informations sur la clé publique de l'objet

rsaEncryption avec un module RSA de 2 048, 3 072 ou 4 096 bits. Ou ecPublicKey avec secp256r1 ou secp384r1.

Certificats CA intermédiaires n'émanant pas de l'autorité de certification émettrice intermédiaire

Suivez ces informations s'il existe plusieurs autorités de certification intermédiaires entre l'entité racine et celle de fin, directement ou indirectement.

L'autorité de certification émettrice intermédiaire est celle qui émet le certificat d'entité de fin. Cette section s'applique à toutes les autorités de certification intermédiaires dans la chaîne autres que l'autorité de certification émettrice intermédiaire.

Champ Valeur
Version Version 3
Numéro de série     Doit être supérieur à zéro (0), et inférieur ou égal à 20 octets lorsque le certificat a un encodage DER sous forme d'ENTIER.
Algorithme de signature     RSA avec SHA‐256, SHA‐384 ou SHA‐512. Ou ECDSA avec SHA‐256, SHA‐384 ou SHA‐512.
Nom distinctif de l'émetteur    

Doit être identique au nom distinctif de l'objet de l'autorité de certification émettrice, à l'octet près.

Période de validité     Non précisée
Nom distinctif de l'objet     Non précisé
Informations sur la clé publique de l'objet    

rsaEncryption avec un module RSA de 2 048, 3 072 ou 4 096 bits. Ou ecPublicKey avec secp256r1 ou secp384r1.

Extension Présence Critique Valeur
Utilisation de la clé Obligatoire Oui

Les positions de bit doivent être définies pour keyCertSign.
Toutes les autres positions de bit peuvent être définies.

Contraintes de base Obligatoire Oui Le champ "cA" doit être défini sur "true".
Le champ "pathLenConstraint" doit être présent.
Points de distribution de LRC Obligatoire Non

Au moins un identificateur HTTP uniformResourceIdentifier accessible publiquement doit être présent.

(remarque) Les serveurs de révocation doivent être utilisés conformément aux sections suivantes de la version 1.3.2 ou ultérieure du document CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates (Stratégie des exigences de base pour les forums de navigateurs/autorités de certification en ce qui concerne l'émission et la gestion de certificats publiquement approuvés) :
  • 4.9.7. CRL Issuance Frequency (Fréquence de publication de la LRC)
  • 4.9.9. On‐line Revocation/Status Checking Availability (Disponibilité de la vérification en ligne de la révocation et de l'état)
  • 4.9.10. On‐line Revocation Checking Requirements (Exigences de la vérification en ligne de la révocation)
    4.10.2 Service Availability (Disponibilité du service)

Autres extensions éventuelles Peuvent être présentes.

Certificat CA intermédiaire qui émet l'entité de fin 

Important : Vous devez obligatoirement inclure au moins un certificat CA intermédiaire dans la chaîne. Autrement dit, l'autorité de certification racine ne doit pas émettre directement de certificats d'entité de fin.

Champ Valeur
Version Version 3
Numéro de série Doit être supérieur à zéro (0), et inférieur ou égal à 20 octets lorsque le certificat a un encodage DER sous forme d'ENTIER.
Algorithme de signature

RSA avec SHA‐256, SHA‐384 ou SHA‐512. Ou ECDSA avec SHA‐256, SHA‐384 ou SHA‐512.

Nom distinctif de l'émetteur    

Doit être identique au nom distinctif de l'objet de l'autorité de certification émettrice, à l'octet près.

Période de validité    

Différence entre notBefore et notAfter

La différence entre notBefore et notAfter ne devrait pas être supérieure à 10 ans, et ne doit pas être supérieure à 20 ans.

Nom distinctif de l'objet    

Doit indiquer l'utilisation de l'autorité de certification.

Informations sur la clé publique de l'objet    

rsaEncryption avec un module RSA de 2 048, 3 072 ou 4 096 bits. Ou ecPublicKey avec secp256r1 ou secp384r1.

Extension Présence Critique Valeur
Utilisation de la clé Obligatoire Oui

Les positions de bit doivent être définies pour :
    keyCertSign
Les positions de bit peuvent être définies pour :
    cRLSign
    digitalSignature
En cas d'utilisation directe pour la signature de réponses OCSP, l'élément suivant doit être présent :
    digitalSignature

Les autres positions de bit ne doivent pas être définies.

Utilisation étendue de la clé Obligatoire L'un ou l'autre L'élément suivant doit être présent :
    emailProtection
Les éléments suivants ne doivent pas être présents :
    serverAuth
    codeSigning
    timeStamping
​    anyExtendedKeyUsage

Contraintes de base

Obligatoire Oui

Le champ "cA" doit être défini sur "true".
Le champ "pathLenConstraint" doit être présent et sa valeur doit être 0.

Stratégies de certificat Facultatif Non

Une valeur policyIdentifier DEVRAIT être fournie pour identifier la stratégie selon laquelle exerce l'autorité de certification, et elle NE DEVRAIT PAS être anyPolicy.
Si la valeur cps est présente, elle doit contenir un lien HTTP ou HTTPS valide.

Points de distribution de LRC Obligatoire Non

Au moins un identificateur HTTP uniformResourceIdentifier accessible publiquement doit être présent.

(remarque)    

Les serveurs de révocation doivent être utilisés conformément aux sections suivantes de la version 1.3.2 ou ultérieure du document CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates (Stratégie des exigences de base pour les forums de navigateurs/autorités de certification en ce qui concerne l'émission et la gestion de certificats publiquement approuvés) :

  •   4.9.7. CRL Issuance Frequency (Fréquence de publication de la LRC)
  •   4.9.9. On‐line Revocation/Status Checking Availability (Disponibilité de la vérification en ligne de la révocation et de l'état)
  •   4.9.10. On‐line Revocation Checking Requirements (Exigences relatives à la vérification en ligne de la révocation)
  •   4.10.2. Service Availability (Disponibilité du service)
Autres extensions éventuelles Facultatif Non 

Peuvent être présentes.

Certificat d'entité de fin

Champ Valeur
Version Version 3
Numéro de série

Doit être supérieur à zéro (0) et doit contenir au moins 64 bits imprévisibles.

Remarque : Le numéro sera mis à jour pour refléter les exigences relatives à l'entropie des numéros de série d'entité de fin indiquée dans le document CA/Browser Forum Baseline Requirements Certificate Policy (Stratégie des exigences de base pour les forums de navigateurs/autorités de certification).

Algorithme de signature RSA avec SHA‐256, SHA‐384 ou SHA‐512. Ou ECDSA avec SHA‐256, SHA‐384 ou SHA‐512.
Nom distinctif de l'émetteur

Doit être identique au nom distinctif de l'objet de l'autorité de certification émettrice, à l'octet près.

Période de validité

La différence entre notBefore et notAfter ne doit pas être supérieure à 27 mois.

La valeur notBefore doit représenter le moment de la signature plus ou moins 48 heures.

Nom distinctif de l'objet    

Tout nom distinctif relatif d'objet autre que l'adresse e-mail doit être rigoureusement validé avant l'émission, selon une procédure documentée et certifiée publiquement. Pour connaître la procédure à suivre, consultez le paragraphe 3.2.3 "Authentication of Individual Identity" (Authentification de l'identité individuelle) de la version 1.3.2 ou ultérieure du document CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates (Stratégie des exigences de base pour les forums de navigateurs/autorités de certification en ce qui concerne l'émission et la gestion de certificats publiquement approuvés).

Toutes les adresses e-mail éventuelles (dans les champs "commonName" ou "emailAddress", par exemple) doivent également être présentes dans l'extension Subject Alternate Name (Nom de substitution d'objet) sous la forme d'un nom rfc822Name.

Informations sur la clé publique de l'objet    

rsaEncryption avec un module RSA de 2 048, 3 072 ou 4 096 bits. Ou ecPublicKey avec secp256r1 ou secp384r1.

Extension Présence Critique Valeur
Utilisation de la clé (RSA) Obligatoire Oui

Les positions de bit doivent être définies pour :
    digitalSignature
 et/ou
    nonRepudiation/contentCommitment
Les positions de bit peuvent être définies pour :
    dataEncipherment
    keyEncipherment

Les autres positions de bit ne doivent pas être définies.

Utilisation de la clé (ECDH)  Obligatoire  

Les positions de bit doivent être définies pour :
    digitalSignature
Les positions de bit peuvent être définies pour :
    nonRepudiation/contentCommitment
    keyAgreement
    encipherOnly (si keyAgreement est défini)
    decipherOnly (si keyAgreement est défini)

Les autres positions de bit ne doivent pas être définies.

Utilisation étendue de la clé Obligatoire L'un ou l'autre

L'élément suivant doit être présent :
   emailProtection
Les éléments suivants ne doivent pas être présents :
   serverAuth
   codeSigning
   timeStamping
   anyExtendedKeyUsage

Contraintes de base

Facultatif L'un ou l'autre

S'il est présent, le champ "cA" ne doit pas être défini sur "true".
Le champ "pathLenConstraint" ne doit pas être présent.

Stratégies de certificat Obligatoire Non

Doit être présente : une valeur policyIdentifier doit être fournie pour identifier la stratégie selon laquelle le certificat a été émis, et elle ne doit pas être anyPolicy

Devrait être présente : si la valeur cps est présente, elle doit contenir un lien HTTP ou HTTPS valide vers le CPS sous lequel le certificat a été émis.

Accès aux informations de l'autorité

Facultatif Non

Les champs caIssuers, et ocsp s'il est présent, doivent contenir au moins un identificateur HTTP uniformResourceIdentifier accessible publiquement.

AccessDescription ne doit pas contenir de libellés ni de paramètres spécifiques d'un certificat individuel.

Points de distribution de LRC Obligatoire Non

Au moins un identificateur HTTP uniformResourceIdentifier accessible publiquement doit être présent.

(remarque)

   

Les serveurs de révocation doivent être utilisés conformément aux sections suivantes de la version 1.3.2 ou ultérieure du document CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates (Stratégie des exigences de base pour les forums de navigateurs/autorités de certification en ce qui concerne l'émission et la gestion de certificats publiquement approuvés) :

  •    4.9.7. CRL Issuance Frequency (Fréquence de publication de la LRC)
  •    4.9.9. On‐line Revocation/Status Checking Availability (Disponibilité de la vérification en ligne de la révocation et de l'état)
  •    4.9.10. On‐line Revocation Checking Requirements (Exigences relatives à la vérification en ligne de la révocation)
  •    4.10.2. Service Availability (Disponibilité du service)

Autre nom de l'objet

Obligatoire Non

Doit contenir au moins un élément du type rfc822Name.
Ne doit pas contenir d'éléments de type :
   dNSName
   iPAddress
   uniformResourceIdentifier
Chaque nom rfc822Name doit être validé à l'aide de mesures documentées et certifiées publiquement afin de garantir que l'entité qui envoie la demande contrôle le compte de messagerie associé à l'adresse e-mail ou a été autorisée par le titulaire du compte de messagerie à agir en son nom.

Autres extensions éventuelles

Facultatif Non Peuvent être présentes.

Ces informations vous-ont elles été utiles ?

Comment pouvons-nous l'améliorer ?
Recherche
Effacer la recherche
Fermer le champ de recherche
Applications Google
Menu principal