La fenêtre de confiance pour la signature des codes est réduite à 460 jours

Les certificats de signature de code auront bientôt une durée de vie beaucoup plus courte. Une nouvelle règle industrielle approuvée le 17 novembre 2025 réduit leur validité maximale de 39 mois à 460 jours, à compter du 1er mars 2026. Ce changement figure dans la version 3.10.0 des exigences de base en matière de signature de code.

Toutes les grandes AC du groupe de travail ont soutenu le changement : 7 ont voté « OUI », 2 se sont abstenues, aucune ne s’est opposée. Du côté de la plateforme, le seul fournisseur participant, Microsoft, a également voté « OUI ». Ce consensus clair est le signe d’un alignement général de l’industrie sur une hygiène plus stricte en matière de certificats.

Qu’est-ce qui pousse à raccourcir la durée de vie des certificats ?

Fin 2024, des chercheurs du HarfangLab ont découvert l’ opération Hijack Loader, une campagne dans laquelle les criminels utilisaient des certificats de signature de code valides pour signer des logiciels malveillants conçus pour déployer le voleur d’informations Lumma. Comme les fichiers portaient des signatures légitimes, les logiciels malveillants ont échappé à de nombreux contrôles de sécurité et ont atteint beaucoup plus de victimes qu’une charge utile non signée ne l’aurait jamais fait.

On assiste également à une évolution plus large de la confiance numérique. Les certificats SSL sont déjà passés d’une validité pluriannuelle à des cycles de rotation courts. La signature de code suit désormais le même chemin. À l’approche de la cryptographie post-quantique, le secteur a besoin d’une rotation plus rapide, d’une gestion plus propre des clés et d’une vérification plus fréquente. Les certificats à longue durée de vie ralentissent cette transition et laissent trop de place aux compromis silencieux.

Quels sont les changements pour les développeurs ?

La nouvelle fenêtre de validité s’inscrit directement dans les processus de développement, de mise en production et de vente. Le changement impose de nouvelles habitudes tout au long de la chaîne :

• Les systèmes qui reposent sur des clés à long terme devront être restructurés : Les serveurs de construction qui stockent un certificat pendant des années ne survivront pas à un cycle plus court. Les équipes doivent procéder à une rotation des clés selon un calendrier précis, mettre à jour les configurations de construction et éviter une expiration inattendue à mi-parution.
• Les environnements de signature encapsulés dans l’air devront faire face à une logistique plus serrée : Les secteurs tels que le contrôle industriel, la santé et le gouvernement transportent souvent des certificats à la main dans des réseaux isolés. Ils ont désormais besoin de cycles d’importation prévisibles et d’un suivi des renouvellements afin que les logiciels signés ne restent pas bloqués dans l’attente d’un nouveau certificat.
• Les anciens outils de signature ne fonctionneront pas s’ils ne sont pas mis à jour : Les anciens scripts qui codent en dur les chemins d’accès aux certificats ou qui s’attendent à une clé unique à longue durée de vie échoueront lorsque cette clé expirera. Les pipelines ont besoin d’une sélection dynamique des certificats et d’une récupération automatisée plutôt que de dossiers statiques.
• Les incidents liés à des fuites de clés deviennent plus faciles à contenir : Les attaquants ne peuvent pas compter sur un certificat pluriannuel qui reste valide longtemps après une violation. Les organisations doivent toujours révoquer rapidement les certificats, mais le rayon d’action se réduit.
• Les équipes chargées de la conformité et de l’identité fonctionneront à un rythme plus serré : Les équipes qui gèrent la validation de l’ EV ou de l’organisation doivent adapter leurs calendriers internes afin que les retards de renouvellement ne bloquent pas la sortie des produits.

Disponibilité du certificat de signature de code et exigences HSM

Les options de signature de code dépendent de l’autorité de certification, ce qui a une incidence directe sur la manière dont vous gérez vos clés :

• DigiCert et GoGetSSL ne proposent que des certificats de signature de code d’une durée d’un an. Vous pouvez choisir un module de sécurité matériel (HSM) fourni par l’autorité de certification ou utiliser votre propre HSM.
• Sectigo (Comodo) vous permet de commander des certificats pour une durée maximale de 3 ans, mais la configuration change :
  • Pour un certificat d’un an, vous pouvez utiliser un HSM fourni par l’autorité de certification ou votre propre HSM.
  • Pour les certificats de 2 ou 3 ans, vous devez utiliser votre propre HSM. Aucun matériel d’AC n’est fourni.

Si vous optez pour un contrat pluriannuel, vous contrôlez entièrement le stockage et la sécurité des clés.

Qu’est-ce que cela signifie lorsque c’est vous qui expédiez les produits ?

La fenêtre de 460 jours change avant tout une chose : le timing. La signature cesse d’être une corvée rare et devient partie intégrante de votre rythme de publication. Vous vous apercevez plus tôt qu’un certain joueur se fait vieux. Et votre pipeline reste plus propre parce que la rotation est intégrée dans le flux, et non une urgence.

Pour les clients de SSL Dragon, ce changement s’aligne sur la façon dont la plupart des équipes fonctionnent déjà. Les cycles plus courts s’alignent sur les calendriers de publication modernes, de sorte que vous êtes moins susceptible d’être surpris par un certificat expiré juste avant une livraison. Si vous optez pour la signature dans le nuage ou pour des clés basées sur HSM, la transition se fait encore plus en douceur, et la rotation se fait discrètement en arrière-plan.

La tendance est claire : une fiducie plus courte, une rotation plus rapide

Des durées de vie plus courtes ne résoudront pas tous les risques de la chaîne d’approvisionnement, mais elles poussent l’industrie vers des pratiques plus saines. Les clés de signature ne peuvent plus passer inaperçues pendant des années, et les flux de production doivent rester alignés sur le nouveau rythme. Mars 2026 approche à grands pas, et les pipelines qui s’adapteront tôt éviteront les difficultés ultérieures.

Prise de position du dragon SSL

De notre point de vue, ce changement est une bonne nouvelle. Il crée des habitudes plus saines et réduit les dommages qu’une clé perdue ou volée peut causer. Les équipes qui souffrent le plus des problèmes de certificats sont rarement celles qui ont de mauvaises intentions. Ce sont celles qui disposaient d’un seul certificat à longue durée de vie enfoui dans une vieille machine de construction et qui l’ont découvert au pire moment. Une fenêtre de 460 jours permet d’exposer ce risque au grand jour.

Pour nos clients, il s’agit surtout d’une question de sensibilisation plutôt que de charge de travail. La fenêtre plus courte fait de la rotation des certificats une partie intégrante de la version naturelle plutôt qu’une tâche de maintenance rare. Le cycle plus rapide révèle également les cas où d’anciens pipelines ou des machines oubliées dépendent encore de certificats à longue durée de vie sans que personne ne s’en aperçoive, et c’est souvent là que des retards ou des failles de sécurité apparaissent.

Si vous utilisez la signature de code pour la première fois, cette mise à jour définit des attentes correctes. La confiance n’est pas quelque chose qui reste intacte pendant des années. Elle évolue avec le logiciel qu’elle protège. La nouvelle fenêtre est axée sur la protection et la prévisibilité, et nous sommes là pour aider les clients à choisir les bons produits et les bons flux de travail afin que la transition se fasse en douceur, sans perturbation.

Source: CA/Browser Forum – Bulletin de vote CSC-31 : Réduction de la durée de vie des certificats de signature de code