Un certificat gratuit et un certificat coûteux chiffrent avec les mêmes algorithmes et affichent le même cadenas. La différence tient à ce que l'émetteur a vérifié avant de signer, et à ce qu'il vous versera s'il s'est trompé.
Les trois niveaux
- DV, validation de domaine. Prouve que vous contrôlez le domaine. Délivré en quelques secondes, gratuit chez Let's Encrypt, et c'est ce qu'utilise presque tout le web.
- OV, validation d'organisation. Ajoute une vérification de l'existence de l'entreprise. Prend des jours et n'apparaît que dans le détail du certificat, que personne n'ouvre.
- EV, validation étendue. Une vérification d'entreprise plus poussée. Elle verdissait autrefois la barre d'adresse ; les navigateurs ont supprimé cela il y a des années, elle est donc aujourd'hui invisible.
Plus aucun navigateur n'affiche l'OV ou l'EV autrement que le DV. Si vous en achetez un pour l'effet visuel, il n'y a plus d'effet visuel.
Quand le payant est vraiment le bon choix
- Un certificat joker pour de nombreux sous-domaines, là où automatiser la validation DNS n'est pas praticable.
- Une garantie qu'un contrat exige.
- Un appareil ou un système qui ne fait confiance qu'à un émetteur précis.
La vraie différence, c'est le renouvellement
Un certificat gratuit dure 90 jours et se renouvelle tout seul. Un payant dure un an, et quelqu'un doit y penser. En pratique, plus de sites tombent à cause d'un renouvellement annuel oublié qu'à cause de quoi que ce soit d'un certificat gratuit.
certbot renew --dry-runEGPHP délivre et renouvelle automatiquement un certificat gratuit pour chaque domaine. Sauf exigence particulière, c'est tout ce dont un site a besoin.
