le terme de “certificat auto-signé” ce n’est pas ce que vous pensez.

cela signifie qqu’on chiffre avec un certificat qu’on a créé soit-même de sa propre autorité (pouf : certificat créé par Oomu, avec clé privée Oomu)

Le soucis avec cela c’est que monsieur Mozilla, Microsoft, Apple et tout le reste du monde OSENT ne pas faire confiance à Oomu et sa clé privée. Oui, je suis comme vous : choqué d’une telle impudence.

Mes certificats signés par moi même (qui marchent très bien pour chiffrer donc) ne sont pas “dignes de confiance”.

Windows, macOs, votre iphone, etc vont dire “ouais heu c’est chiffré ,oui, mais l’autorité Oomu.. moi.. j’connais po, c’est ptet qu’un chevelu corse qui écrit sur des forums orange: MEFIANCE !”, et le navigateur web va faire plein de popup d’alertes pour effrayer son utilisateur.

un certificat auto-signé ce n’est donc pas idéal : ça ne rassure pas les visiteurs d’un site web PUBLIC. C’est par contre très bien pour chiffrer un service privé, entre machines que vous maîtrisez.

Bref, pour un site “public”, on doit utiliser un certificat signé par une autorité de CONFIANCE.

Tous les navigateurs du marché sont fournis avec les certificats d’AUTORITE (CA) des principales entreprises de certificats. Elles sont “de confiance”. et cette liste évolue tout le temps au grès des rachats, déceptions, piratages de ces entreprises de “confiance” (Ayez Confiance a dit Verisign…)

c’est une question de CONFIANCE.

Mais que le certificat soit “auto-signé” (par moi pour mon usage à moi que j’ai) ou signé par une autorité de confiance, dans les DEUX cas, le certificat et sa clé privée associée servent pour CHIFFRER TOUTE la communication.