Qu'est-ce qu'un Certificat machine ?
Un certificat machine est un certificat numérique, généralement au format X.509, délivré à un appareil, un serveur, une application ou un workload pour prouver son identité de manière cryptographique auprès d'autres systèmes. Émis par une autorité de certification (CA) — interne ou publique — il lie une clé publique à un identifiant de la machine, lui permettant d'établir des connexions TLS/mTLS, de s'authentifier auprès de services internes et de chiffrer le trafic sans recourir à un mot de passe partagé. Le certificat machine est central dans les architectures zero-trust, où chaque connexion entre services doit être vérifiée cryptographiquement, ainsi que dans les environnements IoT et industriels, où les appareils s'authentifient de façon autonome à grande échelle. Contrairement à un mot de passe, il porte une période de validité définie et peut être révoqué via une liste de révocation (CRL) ou OCSP, mais il exige une gestion active de son cycle de vie pour rester fiable.
Pourquoi c'est important
Le certificat machine échoue de deux façons, toutes deux génératrices de risque : l'expiration et l'oubli. Un certificat expiré peut provoquer une panne imprévue lorsque la chaîne de confiance se rompt silencieusement, tandis qu'un certificat non géré ou oublié — émis des années plus tôt pour un service depuis démantelé — peut rester un identifiant valide et de confiance bien après que plus personne ne se souvienne de son existence, offrant à un attaquant en possession de la clé privée un point d'ancrage d'apparence légitime. La prolifération des certificats entre cloud, on-premise et IoT est courante, et sans inventaire centralisé, les organisations perdent régulièrement la trace de qui possède quel certificat et de sa date d'expiration. Ce risque s'inscrit pleinement dans l'exposition plus large des identités non humaines (NHI) que décrit l'OWASP NHI Top 10 (2025) — 80% des brèches d'identité impliquent une NHI — et avec des identités machines qui dépassent aujourd'hui les effectifs humains dans un rapport de 45 pour 1, les défaillances de cycle de vie des certificats deviennent une source croissante, et largement invisible, de pannes comme de brèches. NIS2 (application dès le 1er octobre 2026) et l'Objectif 13 du ReCyF de l'ANSSI attendent tous deux des organisations qu'elles démontrent un contrôle effectif sur leurs identifiants machines, certificats compris.
Comment Cydenti vous aide
Cydenti découvre les certificats machines présents dans vos environnements et les corrèle aux workloads, services et identités non humaines qui en dépendent, en révélant les certificats proches de l'expiration, émis pour des actifs démantelés, ou sans propriétaire clair. Plutôt que de traiter la gestion des certificats comme une tâche PKI isolée, Cydenti les intègre au même graphe d'identité que les comptes de service, les clés API et les tokens — offrant aux équipes sécurité une vue unifiée de la confiance machine à l'échelle de l'organisation. Découvrez comment les capacités ITDR de Cydenti permettent d'anticiper les risques liés aux certificats avant qu'ils ne deviennent un incident.
Explorer →Questions fréquentes
Que se passe-t-il quand un certificat machine expire de manière inattendue ?
Les services qui dépendent de ce certificat pour le TLS/mTLS peuvent ne plus établir de connexions de confiance, provoquant des pannes qui surviennent souvent brutalement car les dates d'expiration sont rarement suivies de manière centralisée. C'est une cause majeure d'indisponibilité imprévue dans les environnements où le parc de certificats n'est pas maîtrisé.
En quoi un certificat machine diffère-t-il d'une clé API ou d'un token ?
Un certificat machine repose sur une cryptographie asymétrique (une paire de clés publique/privée) émise et garantie par une autorité de certification, typiquement pour établir des connexions chiffrées et mutuellement authentifiées comme le mTLS. Les clés API et les tokens sont des identifiants plus simples, de type secret partagé ou bearer, généralement utilisés pour l'autorisation au niveau applicatif plutôt que pour la confiance au niveau transport.
Découvrez les identités machines que vous ignoriez posséder
— en 27 minutes, gratuitement.
L’application de NIS2 commence le 1er octobre 2026. L’Audit Flash livre votre photographie complète d’exposition NHI — comptes de service, identifiants orphelins, autorisations OAuth, agents IA — avec un premier rapport en 3 heures. Sans engagement.
Sans engagement · Données hébergées en France · Réponse sous 24h