Chaque connexion sécurisée sur le Web repose sur une poignée d’autorités privées et sur quatre éditeurs de navigateurs, tous américains.
L’Europe a tenté de reprendre la main avec eIDAS. Elle a perdu.
La transition post-quantique lui offre une seconde chance, encore inaperçue.
Il existe une infrastructure mondiale dont dépendent la totalité du commerce en ligne, les services publics numériques, les messageries et les banques. Elle reste absente du débat public. Les discours sur la souveraineté numérique l’ignorent, les rapports parlementaires la contournent. Elle tient en un objet minuscule, invisible pour l’utilisateur : le certificat.
Un cadenas, une signature, une poignée d’autorités
Lorsqu’un navigateur affiche un cadenas devant l’adresse d’un site, il accomplit une seule opération. Il vérifie qu’une autorité en laquelle il a été programmé pour croire a signé un document attestant que ce site est bien celui qu’il prétend être. Cette autorité s’appelle une autorité de certification. Une cinquantaine comptent vraiment dans le monde. L’instance qui décide lesquelles méritent d’être crues échappe aux États comme aux organisations internationales. Ce sont quatre programmes privés, tenus par Google, Apple, Microsoft et Mozilla, qui administrent la liste des racines de confiance embarquées dans leurs logiciels. Chrome représentant à lui seul près des deux tiers de la navigation mondiale, la décision de ce seul acteur, en pratique, fait loi.
Un pouvoir privé qui condamne sans appel
Ce pouvoir est bien réel. En 2017, Google a annoncé qu’il cesserait de reconnaître les certificats émis par Symantec, alors premier émetteur mondial, pour manquements répétés à ses règles. Symantec a dû vendre son activité dans l’année. En 2024, Google a retiré sa confiance à Entrust, une autorité canadienne pourtant historique, pour une accumulation d’incidents jugés mal gérés. Entrust a fini par céder son activité de certificats publics. Entre les deux, une autorité espagnole, Camerfirma, pourtant qualifiée au titre du droit européen, a été exclue des navigateurs en 2021 pour non-conformité. Ces acteurs ont été privés de juge comme de recours. Le procès s’est tenu sur des listes de diffusion publiques. La sentence, rendue par des ingénieurs, est devenue exécutoire dans le monde entier à la mise à jour suivante.
On peut trouver cela choquant. On peut aussi reconnaître que le système fonctionne, et même qu’il fonctionne parce qu’il est brutal. En 2011, l’autorité néerlandaise DigiNotar s’est fait pirater et a laissé émettre des centaines de faux certificats, dont un pour Google, utilisés pour espionner des internautes iraniens. Les navigateurs l’ont rayée de la carte en quelques jours, là où un mécanisme intergouvernemental aurait mis des mois. Quand le Kazakhstan a voulu, en 2019, imposer à ses citoyens une racine étatique permettant d’intercepter tout le trafic chiffré, les mêmes navigateurs l’ont bloquée d’office. La confiance privée américaine, dans ces épisodes, a protégé des citoyens contre leurs propres gouvernements.
Illégitime au sens démocratique, efficace au sens opérationnel
Voilà le paradoxe qu’il faut regarder en face. Le système actuel est illégitime au sens démocratique du terme et efficace au sens opérationnel. Il est américain tout en restant hors de l’État. Il est privé tout en échappant au marché, puisque son acteur le plus important, Let’s Encrypt, est une fondation à but non lucratif qui émet gratuitement une part majoritaire des certificats de la planète avec un budget inférieur à celui d’une sous-préfecture. Il tient parce que ceux qui en écrivent les règles, réunis dans un forum privé dépourvu d’existence juridique propre, le CA/Browser Forum, partagent un intérêt : que le Web reste utilisable.
eIDAS, ou l’échec européen
L’Europe a tenté de contester cet ordre. Le règlement eIDAS révisé, adopté en 2024, contenait un article 45 qui obligeait les navigateurs à reconnaître les certificats de sites émis par les prestataires de confiance qualifiés par les États membres. L’intention était limpide : réintroduire la puissance publique dans la chaîne. La réaction a été d’une violence rare. Plusieurs centaines de chercheurs en sécurité, Mozilla en tête, ont dénoncé un dispositif qui aurait permis à tout gouvernement européen, ou à un prestataire défaillant qualifié par lui, d’émettre des certificats que les navigateurs auraient été légalement tenus d’accepter. Le texte final a été amendé pour que les navigateurs conservent le droit d’appliquer leurs propres politiques de sécurité. Autrement dit, la loi européenne a été rédigée de manière à tout laisser en l’état.
Cet échec est instructif parce qu’il révèle la nature du pouvoir en jeu. La souveraineté sur la confiance se tient bien plus qu’elle se décrète. Elle suppose de contrôler le point de terminaison, le logiciel qui décide en dernier ressort ce qui est cru. Or l’Europe est dépourvue de navigateur comme de système d’exploitation. Elle peut qualifier tous les prestataires qu’elle veut : la racine de confiance est ailleurs, chez celui qui écrit le code que l’utilisateur exécute. Le juriste européen a cru un instant que la confiance était un statut.
Russie, Chine : deux leçons de souveraineté
Le contre-exemple russe le confirme. Depuis 2022, les sanctions ayant conduit les autorités occidentales à cesser d’émettre pour les sites russes, Moscou a créé sa propre racine nationale. Seuls la reconnaissent des navigateurs russes dont l’usage s’arrête aux frontières du pays. La Russie détient la souveraineté juridique complète sur sa confiance et une portée quasi nulle. C’est exactement l’inverse de la situation américaine, faite d’une souveraineté juridique formelle inexistante et d’une portée universelle.
La Chine montre ce que coûte une souveraineté réussie. Pékin a développé ses propres algorithmes de chiffrement (SM2, SM3), ses propres autorités de certification, ses propres modules matériels et ses propres navigateurs. Elle impose l’usage de cet écosystème dans les paiements et l’administration. Dans le même temps, elle a obtenu que des autorités chinoises conservent une place dans les magasins de racines occidentaux et elle conduit sa propre feuille de route post-quantique. Autrement dit, la Chine détient à la fois la loi, l’algorithme, le terminal et le navigateur, tout en gardant un pied dans le système mondial. Cette double appartenance a été construite en vingt ans par une politique industrielle continue.
Changer de terrain : la transition post-quantique
Faut-il alors renoncer ? Il faut plutôt changer de terrain. Deux occasions se présentent. L’Europe tarde à les identifier comme telles.
La première est la transition post-quantique. Les algorithmes qui signent aujourd’hui les certificats seront cassables par un ordinateur quantique de taille suffisante. Le NIST américain a publié les nouveaux standards en 2024 et l’administration américaine a fixé 2035 comme horizon d’abandon des algorithmes actuels. Google a déjà activé par défaut dans Chrome un échange de clés résistant. Le remplacement des signatures dans les certificats est autrement plus difficile : les nouvelles signatures sont vingt à quarante fois plus lourdes, elles imposent de repenser la taille des chaînes, les protocoles, les équipements réseau, les objets connectés, etc. Toute l’infrastructure de confiance mondiale va devoir être réémise dans la décennie. Et une réémission complète, c’est sûrement un moment où la carte se rebat. Celui qui définit les profils de certificats post-quantiques et les calendriers de migration tiendra la prochaine génération de la confiance. Ce travail se fait aujourd’hui à l’IETF et au CA/Browser Forum, où la présence européenne reste pourtant plus que marginale.
Le portefeuille d’identité numérique, seconde chance
La seconde occasion est le portefeuille européen d’identité numérique, que le même règlement eIDAS impose aux États membres. Là, l’Europe contrôle le point de terminaison : c’est elle qui définit l’application et la liste de confiance. Il s’agit d’un espace distinct du Web, mais d’un espace de confiance de plusieurs centaines de millions d’utilisateurs dont l’architecture est encore ouverte. Si l’Europe le construit comme elle a construit eIDAS, en juriste, elle produira un objet conforme et inutilisé. Si elle le construit en ingénieur, avec des exigences de transparence des émissions, de journalisation publique, de révocation rapide et de sanction automatique des prestataires défaillants, elle aura une chance de faire exister une confiance publique aussi crédible que la confiance privée qu’elle envie.
Le monopole de l’attestation légitime
La leçon générale dépasse le certificat. Max Weber définissait l’État par le monopole de la violence légitime. Il aurait pu ajouter celui de l’attestation légitime : le sceau, le notaire, l’état civil, la légalisation consulaire ont été pendant deux millénaires des attributs de la puissance publique. Ce second monopole a quitté l’État au tournant du siècle, en silence, au profit d’un ordre privé qui rappelle la lex mercatoria médiévale, ce droit des marchands né dans les foires, appliqué par les guildes, sanctionné par l’exclusion du commerce, que les souverains ont mis des siècles à réabsorber.
Le CA/Browser Forum est la lex mercatoria de l’ère logicielle. Comme elle, il est efficace parce qu’il est fait par ceux qui en subissent les conséquences. Comme elle, il attend le souverain capable de le reprendre à son compte, à condition d’en accepter d’abord les règles. Et la souveraineté numérique européenne se perd chaque fois qu’elle est pensée comme une question de qualification, de label, de norme ou de conformité. Au contraire, elle se gagne chaque fois qu’elle est pensée comme une question de code, de terminal, de protocole et de calendrier.
Lire aussi :
Souveraineté numérique : et si l’Europe se trompait de combat ?
Le chiffrement : un enjeu géopolitique crucial
