Qu'est-ce qu'un Certificat machine ?
Un certificat machine est un certificat numérique, généralement au format X.509, délivré à un appareil, un serveur, une application ou un workload pour prouver son identité de manière cryptographique auprès d'autres systèmes. Émis par une autorité de certification (CA) — interne ou publique — il lie une clé publique à un identifiant de la machine, lui permettant d'établir des connexions TLS/mTLS, de s'authentifier auprès de services internes et de chiffrer le trafic sans recourir à un mot de passe partagé. Le certificat machine est central dans les architectures zero-trust, où chaque connexion entre services doit être vérifiée cryptographiquement, ainsi que dans les environnements IoT et industriels, où les appareils s'authentifient de façon autonome à grande échelle. Contrairement à un mot de passe, il porte une période de validité définie et peut être révoqué via une liste de révocation (CRL) ou OCSP, mais il exige une gestion active de son cycle de vie pour rester fiable.
Pourquoi c'est important
Le certificat machine échoue de deux façons, toutes deux génératrices de risque : l'expiration et l'oubli. Un certificat expiré peut provoquer une panne imprévue lorsque la chaîne de confiance se rompt silencieusement, tandis qu'un certificat non géré ou oublié — émis des années plus tôt pour un service depuis démantelé — peut rester un identifiant valide et de confiance bien après que plus personne ne se souvienne de son existence, offrant à un attaquant en possession de la clé privée un point d'ancrage d'apparence légitime. La prolifération des certificats entre cloud, on-premise et IoT est courante, et sans inventaire centralisé, les organisations perdent régulièrement la trace de qui possède quel certificat et de sa date d'expiration. Dans la plupart des organisations, les identités machine sont bien plus nombreuses que les collaborateurs — et la plupart n'ont ni propriétaire, ni privilèges ajustés, ni date d'expiration. La transposition de NIS2 en France (projet de loi Résilience) est en cours d'examen au Parlement ; l'ANSSI publie déjà le référentiel ReCyF pour s'y préparer.
Comment Cydenti vous aide
Cydenti découvre les certificats machines présents dans vos environnements et les corrèle aux workloads, services et identités non humaines qui en dépendent, en révélant les certificats proches de l'expiration, émis pour des actifs démantelés, ou sans propriétaire clair. Plutôt que de traiter la gestion des certificats comme une tâche PKI isolée, Cydenti les intègre au même graphe d'identité que les comptes de service, les clés API et les tokens — offrant aux équipes sécurité une vue unifiée de la confiance machine à l'échelle de l'organisation. Découvrez comment les capacités ITDR de Cydenti permettent d'anticiper les risques liés aux certificats avant qu'ils ne deviennent un incident.
Explorer →Questions fréquentes
Que se passe-t-il quand un certificat machine expire de manière inattendue ?
Les services qui dépendent de ce certificat pour le TLS/mTLS peuvent ne plus établir de connexions de confiance, provoquant des pannes qui surviennent souvent brutalement car les dates d'expiration sont rarement suivies de manière centralisée. C'est une cause majeure d'indisponibilité imprévue dans les environnements où le parc de certificats n'est pas maîtrisé.
En quoi un certificat machine diffère-t-il d'une clé API ou d'un token ?
Un certificat machine repose sur une cryptographie asymétrique (une paire de clés publique/privée) émise et garantie par une autorité de certification, typiquement pour établir des connexions chiffrées et mutuellement authentifiées comme le mTLS. Les clés API et les tokens sont des identifiants plus simples, de type secret partagé ou bearer, généralement utilisés pour l'autorisation au niveau applicatif plutôt que pour la confiance au niveau transport.
Découvrez les identités machines que vous ignoriez posséder
— le premier inventaire arrive en général sous une semaine.
L’Audit Flash connecte jusqu’à trois applications SaaS en lecture seule et liste les comptes de service, identifiants orphelins, autorisations OAuth et agents IA qu’il voit. Le premier inventaire des identités arrive en général sous une semaine. Un scan complet des partages, sur un grand tenant, peut prendre plus longtemps. Sans engagement.
Sans engagement · Données hébergées en Europe · Réponse sous 24h