Internet X.509 PKI Certificate and CRL Profile

Remarque

Spécification de l'IETF qui définit le profil des certificats X.509 v3 et des listes de révocation de certificats X.509 v2 pour Internet, avec un algorithme de validation de chemin.

Résumé

Objet

La RFC 5280 de l’IETF (mai 2008) profile, pour l’internet, le certificat X.509 version 3 et la liste de révocation de certificats (certificate revocation list, CRL) X.509 version 2 :

Elle décrit le format du certificat, ses extensions standard, le format de la CRL et un algorithme de validation du chemin de certification RFC 5280, Abstract.

À qui ça s’applique

La RFC elle-même n’impose rien au titre d’eIDAS. Trois actes du corpus y renvoient, chacun avec sa propre portée.

• Certificats qualifiés. Le règlement d’exécution 2025/1943 fixe les normes de référence des certificats qualifiés de signature électronique (annexe I) et de cachet électronique (annexe II) Art. 1. Dans les deux annexes, une adaptation de la norme ETSI EN 319 412-2 renvoie à la RFC Annexe I Annexe II. Un certificat qualifié qui respecte ces normes, spécifications et procédures est « présumé » respecter les exigences de l’annexe I (signature) ou de l’annexe III (cachet) du règlement 910/2014 Art. 28 §6 Art. 38 §6.
• Rapports d’évaluation de la conformité. Le règlement d’exécution 2025/2162 dispose que le rapport d’évaluation de la conformité des prestataires de services de confiance qualifiés est conforme aux spécifications de son annexe III Art. 7 §1. Cette annexe utilise des notions définies dans la RFC Annexe III.
• Listes de confiance. La décision d’exécution 2015/1505 impose aux États membres des listes de confiance conformes à son annexe I Art. 1. Lorsqu’une version directement lisible est établie et publiée, elle affiche au minimum certains champs des certificats, dont les « Points de distribution CRL », avec une note de bas de page qui renvoie à la RFC 5280 Annexe I.

Points clés

• Numéro de série unique. L’adaptation de 2025/1943 (exigence GEN-4.2.6-01) veut que chaque certificat délivré par le prestataire ait un numéro de série unique, au sens de la clause 4.1.2.2 de la RFC Annexe I. Cette clause exige un entier positif, unique pour chaque certificat d’une même autorité de certification, et d’au plus 20 octets RFC 5280, § 4.1.2.2. Serial Number.
• Identifiant de clé du sujet. Lorsque le service de confiance qualifié est fondé sur une infrastructure à clé publique (ICP), le rapport d’évaluation énumère ses identités numériques notamment par l’identifiant de clé du sujet (Subject Key Identifier) défini dans la RFC Annexe III. Le cas échéant, il décrit aussi la hiérarchie de l’ICP et identifie chaque autorité de certification par ce même identifiant Annexe III. Cette extension permet de repérer les certificats qui contiennent une clé publique donnée RFC 5280, § 4.2.1.2. Subject Key Identifier.
• Politiques de certification. Dans cette description de la hiérarchie, fournie le cas échéant, le rapport donne, pour chaque ensemble de certificats d’une autorité émettrice, des critères d’identification : soit les identifiants de politique contenus dans l’extension de politique de certification définie dans la RFC, soit d’autres critères prévus par les actes d’exécution relatifs aux listes de confiance Annexe III Art. 22 §5. Dans la RFC, cette extension contient un ou plusieurs identifiants d’objet (OID) de politique RFC 5280, § 4.2.1.4. Certificate Policies.
• Points de distribution des CRL. Cette extension indique comment obtenir les informations de révocation RFC 5280, § 4.2.1.13. CRL Distribution Points.

Clauses visées par les actes

• Clause 4.1.2.2 (numéro de série) : nommée par l’exigence GEN-4.2.6-01, dans l’adaptation de la norme EN 319 412-2, annexes I et II du règlement d’exécution 2025/1943 Annexe I Annexe II.
• Identifiant de clé du sujet et extension de politique de certification : renvoi à la RFC sans numéro de clause, annexe III du règlement d’exécution 2025/2162 Annexe III.
• Points de distribution des CRL : renvoi général, par note de bas de page, décision d’exécution 2015/1505 Annexe I.

Liens

• Actes qui y renvoient : règlements d’exécution 2025/1943 Règlement d'exécution (UE) 2025/1943 et 2025/2162 Règlement d'exécution (UE) 2025/2162, décision d’exécution 2015/1505 Décision d'exécution (UE) 2015/1505 — version consolidée au 29/04/2026.
• Norme intermédiaire : ETSI EN 319 412-2 ETSI EN 319 412-2 V2.4.1.
• Normes liées : RFC 3739, profil des certificats qualifiés RFC 3739 ; ETSI TS 119 612, listes de confiance, citée par l’annexe III du règlement d’exécution 2025/2162 ETSI TS 119 612 V2.4.1 Annexe III.
• Parcours : étape 4, les services de confiance.

Rédaction Asphalia.