Certificats S/MIME

Un certificat S/MIME remplit deux fonctions :

• Il chiffre le corps de l’e-mail et les éventuelles pièces jointes à l’aide de la clé publique du destinataire, de sorte que seule la clé privée du destinataire peut les déchiffrer.
• Il applique une signature numérique à l’aide de la clé privée de l’expéditeur, prouvant qui a envoyé l’e-mail et qu’aucune modification n’a été apportée après l’envoi.

Les destinataires vérifient cette signature à l’aide de la clé publique de l’expéditeur.

Cette protection prémunit contre les attaques de phishing et les attaques de type man-in-the-middle au niveau du message.

S/MIME fonctionne différemment de TLS sur votre serveur de messagerie. TLS sécurise la connexion entre les serveurs pendant le transit des e-mails, mais une fois qu’un message arrive dans une boîte de réception, il est stocké non chiffré sur le serveur. S/MIME chiffre le message lui-même, le maintenant protégé depuis le moment où il quitte votre boîte d’envoi jusqu’à ce que le destinataire l’ouvre.

Les exigences de base S/MIME du CA/Browser Forum, en vigueur depuis septembre 2023, définissent quatre types de validation qui déterminent les informations d’identité contenues dans un certificat :

• Mailbox-Validated (MV) confirme que vous contrôlez l’adresse e-mail. Aucune vérification d’identité au-delà de cela. Idéal pour un usage personnel ou une configuration rapide. Les certificats Sectigo Basic et Pro de SSL Dragon appartiennent à cette catégorie.
• Individual-Validated (IV) vérifie l’identité réelle du titulaire du certificat via une pièce d’identité officielle. Adapté aux freelances et aux professionnels qui doivent prouver leur identité dans leurs échanges.
• Organization-Validated (OV) vérifie l’existence légale de l’organisation et affiche le nom de l’entreprise dans le certificat. Un choix solide pour les entreprises qui envoient des e-mails depuis des adresses partagées ou départementales. Sectigo Enterprise utilise ce niveau de validation.
• Sponsor-Validated (SV) est émis par une organisation à ses employés, confirmant à la fois l’entreprise et le représentant individuel. DigiCert Secure Email for Business utilise la validation sponsor, et c’est la norme pour les déploiements à l’échelle de l’entreprise.

• Les organisations de santé qui traitent des informations de santé protégées (PHI) ont besoin du chiffrement des e-mails pour satisfaire aux exigences HIPAA. Un certificat e-mail appliqué aux comptes des cliniciens et du personnel administratif répond à cette obligation.
• Les cabinets d’avocats et les institutions financières sont soumis à des règles strictes de confidentialité des clients et sont de plus en plus exposés aux attaques de type Business Email Compromise (BEC). Un e-mail signé numériquement permet aux clients de confirmer que le message provient bien de leur avocat ou conseiller.
• Les entreprises opérant sous le RGPD doivent protéger les données personnelles en transit. Le chiffrement des e-mails avec S/MIME constitue une mesure de protection claire et traçable.
• Les entreprises réglementées par la FDA qui soumettent des données via l’Electronic Submissions Gateway (ESG) peuvent utiliser les certificats d’e-mail sécurisé de DigiCert, qui répondent aux exigences de conformité FDA ESG. Des types de certificats connexes tels que les certificats de signature de code et de signature de documents couvrent d’autres scénarios de conformité.