Qu'est-ce que l'ACME ?

L'environnement de gestion automatique des certificats (ACME) est un protocole qui automatise la demande, la validation, la délivrance et le renouvellement des certificats numériques entre un client et une autorité de certification (CA). Il remplace l'inscription manuelle des certificats par un échange piloté par API, et les appareils « Versa » peuvent l'utiliser comme type de serveur de certificats à partir de la version 22.1.3.

Points clés à retenir

• ACME automatise la délivrance, la validation et le renouvellement des certificats via une API.
• Il remplace les étapes manuelles de génération de CSR et d'importation de certificats.
• Le contrôle du domaine ou du périphérique est vérifié à l'aide de défis automatisés.
• L'IETF a normalisé le protocole ACME dans la RFC 8555 ; Let’s Encrypt l'a popularisé.
• Versa Depuis la version 22.1.3, ces appareils prennent en charge ACME en tant que type de serveur de certificats.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · ACME & Versa · FAQ

Pourquoi l'ACME est-elle importante ?

Chaque certificat TLS a une date d'expiration, et un certificat qui expire sans que l'on s'en aperçoive provoque une interruption du service qu'il protège – une cause courante et évitable de pannes. Avant l'arrivée d'ACME, pour maintenir les certificats à jour, un administrateur devait générer une demande de certificat (CSR), la soumettre à une autorité de certification (CA) et importer le certificat obtenu avant l'expiration de l'ancien, et ce pour chaque hôte et à chaque cycle de renouvellement.

ACME transforme ce processus manuel en un échange automatisé via une API. Un client demande un certificat, prouve qu’il contrôle un identifiant et reçoit un certificat signé sans intervention humaine – puis le renouvelle de la même manière, aussi souvent que nécessaire. Cette automatisation a rendu les certificats à durée de vie limitée pratiques à grande échelle : l’autorité de certification gratuite de Let’s Encrypt, basée sur ACME, a favorisé l’adoption massive du protocole HTTPS, et ce même modèle s’étend désormais aux infrastructures PKI internes, aux parcs d’appareils IoT et aux périphériques réseau nécessitant une rotation régulière des certificats.

Qu'est-ce que l'ACME ?

Un échange ACME s'effectue entre un client ACME (l'appareil ou le logiciel demandant un certificat) et un serveur ACME, géré par une autorité de certification. Le client crée un compte auprès de l'autorité de certification à l'aide d'une paire de clés, puis soumet une demande en indiquant un ou plusieurs identifiants – généralement des noms de domaine – qu'il souhaite faire certifier.

Pour prouver qu’il contrôle ces identifiants, le client répond à une ou plusieurs demandes de vérification émises par l’autorité de certification. Une fois la validation réussie, le client soumet une demande de certificat (CSR) pour la commande, et l’autorité de certification émet le certificat signé, prêt à être téléchargé. Chaque message prend la forme d’une requête JSON Web Signature (JWS) transmise via HTTPS ; ainsi, l’ensemble du cycle de vie – commande, validation, finalisation, téléchargement, puis renouvellement – se déroule sans qu’un intervenant humain ait à générer des fichiers ou à approuver manuellement chaque étape.

Types de défis ACME

ACME définit plusieurs types de défis permettant de prouver le contrôle d’un identifiant. Dans le cas de HTTP-01, le client doit servir un jeton à une URL bien connue sur le port 80, que l’autorité de certification récupère pour confirmer le contrôle du serveur web. DNS-01 demande au client de publier un enregistrement TXT sous le domaine ; cette méthode fonctionne sans serveur web public et constitue la seule option pour les certificats génériques. TLS-ALPN-01 présente le jeton dans un certificat auto-signé lors d’une négociation TLS sur le port 443.

Au-delà des types de défis, le protocole ACME a évolué au fil des versions : la version originale ACMEv1, utilisée par les premiers clients de Let’s Encrypt, est désormais obsolète, tandis que la version ACMEv2, normalisée dans la RFC 8555, est actuellement en vigueur. Elle intègre un modèle de ressources à ordre explicite et prend en charge les certificats à caractères génériques, fonctionnalités qui faisaient défaut à la version 1.

ACME & Versa

Depuis la version 22.1.3, les appareils VOS prennent en charge ACME comme l’un des types de serveurs de certificats, aux côtés de CMP, SCEP, KMIP, GCP et CRL. Un administrateur peut l’ajouter à partir du gestionnaire de certificats par appareil de Director (Configuration > Objets et connecteurs > Connecteurs > Gestionnaire de certificats > Serveurs), en sélectionnant le type de serveur ACME et en saisissant l’URL d’inscription de l’autorité de certification, un intervalle de réessai et l’interface utilisée pour y accéder. La version 22.1.3 a également introduit la fonctionnalité « CSR par défaut », qui génère automatiquement une demande de signature en utilisant l’ID de l’appareil comme nom commun, au lieu d’exiger la saisie manuelle de chaque attribut de la CSR.

Cette même option apparaît également plus tôt dans le flux de travail : la création d’un tenant « Secure SD-WAN » dans Concerto avec une authentification par certificat (version 12.1.1 et suivantes) ajoute une étape « Certificat » dans laquelle le « Type de serveur » peut être défini sur ACME, CMP ou SCEP pour l’autorité de certification (CA) du tenant. Une fois le serveur défini, les demandes de certificat précisent la durée de validité, un bouton de renouvellement automatique et un seuil de renouvellement. Ainsi, le certificat ACME d’un appareil est automatiquement renouvelé avant son expiration, sans qu’il soit nécessaire de le gérer manuellement.

Questions fréquentes

Que signifie l'acronyme ACME ?

ACME est l'acronyme de « Automatic Certificate Management Environment » (également écrit « Automated Certificate Management Environment »), normalisé dans la RFC 8555 de l'IETF. Il définit une API permettant de demander, de valider, d'émettre et de renouveler des certificats numériques entre un client et une autorité de certification, sans aucune intervention manuelle.

Comment ACME prouve-t-elle qu'elle contrôle un domaine ou un appareil ?

ACME lance un ou plusieurs défis, tels que la transmission d'un jeton à une URL spécifique (HTTP-01), la publication d'un enregistrement DNS de type TXT (DNS-01) ou sa présentation lors d'une négociation TLS (TLS-ALPN-01). L'autorité de certification ne délivre le certificat qu'une fois que le client a relevé avec succès un défi.

Versa prend-il en charge le protocole ACME pour l'inscription des certificats ?

Oui. Depuis la version 22.1.3, les appareils VOS peuvent utiliser ACME comme type de serveur de certificats, configuré par appareil dans le Gestionnaire de certificats de Director, ou comme type d’autorité de certification (CA) pour l’authentification par certificat d’un locataire d’ Secure SD-WAN dans Concerto, aux côtés des types de serveurs CMP, SCEP, KMIP, GCP et CRL.

Quelle est la différence entre ACME, SCEP et CMP sur un appareil Versa ?

Ces trois types de serveurs de certificats permettent à un périphérique VOS de s'enregistrer : ACME est le protocole automatisé de l'IETF, piloté par API ; SCEP est le protocole d'enregistrement simple de certificats (Simple Certificate Enrollment Protocol) ; CMP est le protocole de gestion des certificats (Certificate Management Protocol). Versa configure ces trois types de la même manière, en tant que choix de « type de serveur » au niveau de l'objet « serveur de certificats ».

Comment un appareil VOS renouvelle-t-il automatiquement un certificat ACME ?

Les demandes de certificat sur un appareil VOS prennent en charge un commutateur de renouvellement automatique et un seuil de renouvellement – un pourcentage de la durée de validité du certificat à partir duquel le renouvellement se déclenche automatiquement, de sorte que l'appareil demande un nouveau certificat au serveur ACME avant l'expiration de celui en cours.

En savoir plus sur ACME

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à ACME, voici quelques liens qui pourraient vous intéresser.