- La publication par Brian Holland, directeur juridique de Sectigo, d’une mise en demeure reçue des avocats de DigiCert, Wilson Sonsini, a ravivé la polémique sur un possible effet dissuasif sur les discussions publiques autour du WebPKI
- DigiCert a d’abord expliqué qu’il s’agissait d’une mesure motivée par des inquiétudes liées à des déclarations trompeuses d’un concurrent et à un possible détournement du forum, avant de reconnaître ensuite que l’envoi d’une mise en demeure était inapproprié
- Au cœur du dossier figurait une TRO liée à l’affaire de révocation massive de certificats chez DigiCert ; l’entreprise a expliqué que cette TRO n’avait concerné qu’un seul certificat et figurait au dossier public
- La communauté et le Chrome Root Program ont estimé que les comportements susceptibles de dissuader la participation au WebPKI étaient incompatibles avec les valeurs fondamentales de l’écosystème ; DigiCert a finalement remis un rapport d’incident ainsi que des mesures de prévention
- À l’avenir, DigiCert traitera les questions techniques et de politique liées aux incidents Bugzilla actifs dans Bugzilla plutôt que par des canaux juridiques ; en cas de nécessité d’une action en justice, un examen par la direction et une notification publique seront appliqués, avec en plus un programme d’ombudsman
La mise en demeure de DigiCert rendue publique par Sectigo
- Brian Holland a indiqué que, malgré les déclarations antérieures de DigiCert dans Bugzilla affirmant que l’entreprise n’avait pas « utilisé le service juridique comme bouclier pour éviter ses responsabilités », Sectigo avait bien reçu un courrier concernant les propos tenus par ses représentants, envoyé par les avocats de DigiCert chez Wilson Sonsini
- Ce courrier visait les propos tenus dans Bugzilla par Tim Callan, Chief Compliance Officer de Sectigo, et demandait à Sectigo de faire en sorte que « les déclarations de M. Callan ne se poursuivent pas et ne soient pas répétées par d’autres membres de l’organisation Sectigo »
- Le courrier mentionnait le Lanham Act, les deceptive trade practices, la corporate disparagement et la tortious interference, et comprenait une formule indiquant que DigiCert pourrait engager une action en justice
- Dans sa réponse du 10 décembre 2024, Holland a rétorqué que les propos mis en cause relevaient de questions ou d’opinions, formulées pour favoriser une discussion importante dans le WebPKI, et qu’ils ne pouvaient donc pas fonder une action en justice
- Sectigo a estimé que des menaces juridiques dissuadant la surveillance et le débat autour des pratiques des AC publiques étaient incompatibles avec la culture d’analyse post-incident transparente exigée par les directives de rapport d’incident du CCADB
Réponse initiale de DigiCert et réaction de la communauté
- DigiCert a répondu qu’il soutenait les idéaux de Bugzilla et de la communauté des AC, et que ce courrier visait à préserver un dialogue public et honnête
- Après la défiance envers Entrust, des inquiétudes avaient aussi émergé sur le fait que certains participants publiaient dans Bugzilla des informations trompeuses ou des demi-vérités pour influencer négativement l’opinion et maintenir des bugs ouverts plus longtemps que nécessaire
- DigiCert a expliqué qu’après la réponse de Sectigo, aucune autre mesure ni réponse n’avait suivi, et que l’entreprise pensait l’affaire close jusqu’à ce que Sectigo la rende de nouveau publique
- Plusieurs membres de la communauté ont critiqué le fait que l’ensemble du courrier ne pouvait être lu que comme une menace juridique, et ont demandé à DigiCert de reconnaître une partie de ses torts et d’améliorer sa communication interne
- Côté Mozilla, il a été rappelé qu’un processus transparent et fondé sur la communauté était un principe essentiel, et que les comportements dissuadant la participation aux discussions causaient un préjudice profond à la communauté, qu’ils soient publics ou privés
S’agit-il d’un incident ? Intervention du Chrome Root Program
- DigiCert a d’abord demandé la clôture du bug, au motif qu’il ne s’agissait pas d’une allégation de non-conformité aux exigences
- Des participants à la communauté ont cité la Chrome Root Program Policy pour souligner que des situations susceptibles d’affecter l’intégrité, la fiabilité ou la compatibilité d’un participant au Chrome Root Program pouvaient elles aussi constituer un incident
- Le Chrome Root Program a estimé que les retours de la communauté montraient une forte attente de comprendre quels efforts DigiCert comptait fournir pour rétablir la confiance et la bonne volonté
- Il a jugé plus efficace que DigiCert réponde directement aux préoccupations de la communauté dans cette discussion Bugzilla, plutôt que via un rapport d’incident CCADB séparé
- DigiCert a ensuite convenu que cette discussion était un moyen efficace de traiter les préoccupations de la communauté et a indiqué qu’il répondrait aux questions supplémentaires
Reconnaissance par DigiCert et rapport d’incident
- DigiCert a expliqué qu’il avait initialement considéré l’envoi du courrier comme une réponse à des déclarations trompeuses d’un concurrent, avant de reconnaître que ce courrier n’était pas conforme à la transparence ni à l’intérêt supérieur de la communauté
- L’entreprise a indiqué qu’il aurait mieux valu recourir au code de conduite du forum Bugzilla et aux lignes directrices de participation de la communauté, et que si elle pouvait revenir à novembre 2024, elle n’enverrait pas le même courrier
- DigiCert a ensuite remis un Full Incident Report, qualifiant d’incident l’envoi, le 11 novembre 2024, d’une mise en demeure à Sectigo par ses avocats
- Le rapport reconnaît que la mise en demeure chevauchait étroitement les discussions Bugzilla et pouvait donc dissuader le débat public, et que la perceived misinformation aurait été plus correctement rectifiée dans le contexte public de Bugzilla
- DigiCert y précise également que le courrier initial était bien « une menace d’envisager une action en justice sur la base des déclarations de Tim Callan », tout en affirmant qu’une mise en demeure n’était pas une réponse appropriée dans ce contexte
Facteurs identifiés comme causes
- DigiCert a cité comme premier facteur contributif la nouveauté de la TRO
- L’affaire de révocation massive dans Bugzilla 1910805 constituait, selon DigiCert, un événement important, ayant réaffirmé dans le secteur qu’aucune exception ne s’appliquait aux délais de révocation
- Durant ce processus, l’entreprise a été confrontée à plusieurs arguments d’exception, dont la TRO ; elle a précisé que cette TRO n’avait joué qu’un rôle limité dans la révocation, mais qu’elle l’avait rendue publique au nom de la transparence
- Le deuxième facteur contributif était la relation de concurrence
- DigiCert et Sectigo sont des concurrents directs, et DigiCert a estimé que la participation dans Bugzilla de personnes affiliées à une AC publiquement reconnue pouvait créer des tensions concurrentielles
- L’entreprise a indiqué que 18 des 24 commentaires Bugzilla de Tim Callan visaient des bugs DigiCert, ce qu’elle a replacé dans ce contexte de sensibilité concurrentielle
- DigiCert a également indiqué qu’après l’affaire de révocation massive, le dirigeant chargé de la conformité et des standards avait démissionné, ce qui avait perturbé les workflows de conformité et les processus d’approbation habituels
- Dans une réponse ultérieure, l’entreprise a précisé que l’équipe Legal avait discuté de la mise en demeure avec l’équipe Standards/Compliance, que des inquiétudes avaient été soulevées par des membres de cette équipe, mais que l’équipe Legal avait décidé de l’envoyer malgré cette opposition interne
Mesures pour éviter une récidive
- DigiCert a indiqué dans son rapport d’incident et son résumé de clôture avoir finalisé quatre mesures
-
Technical-First Dispute Resolution
- Pendant le traitement d’un incident, les problèmes techniques, formulations trompeuses et inquiétudes liées à des violations de politique de conformité seront traités dans le Bugzilla concerné, et non par des canaux juridiques
- Si une action en justice devient nécessaire dans le cadre d’un incident actif, cette décision et cette action seront rendues publiques dans le Bugzilla concerné
-
Community Transparency Pledge
- Les communications liées à un incident seront traitées publiquement dans des forums communautaires comme le MDSP, le CCADB, le CA/B Forum et Bugzilla afin de garantir la traçabilité
- Les prises de contact avec les auteurs de commentaires seront elles aussi documentées et publiées en fonction du contexte de l’incident, afin qu’elles ne puissent pas être perçues comme des représailles ou des démarches surprises
-
Legal Review Gate
- Toute action juridique recoupant un incident devra passer par un examen et une approbation au niveau exécutif, avec une analyse justifiant la pertinence de cette action
- Si une notification publique immédiate n’est pas possible, une notification privée sera d’abord envoyée au root program, suivie plus tard d’un suivi public
-
Ombudsperson Role for WebPKI Concerns
- DigiCert créera une procédure d’ombudsman interne permettant de signaler de manière confidentielle des préoccupations concernant l’équité, l’ouverture ou les effets dissuasifs dans le WebPKI
- Par la suite, une personnalité indépendante externe, Don Sheehy, a rejoint l’équipe d’ombudsman afin d’apporter son soutien si nécessaire
Programme d’ombudsman et controverse persistante
- DigiCert a d’abord annoncé que l’équipe d’ombudsman serait composée de représentants des départements Program Management, Compliance et Legal, et qu’elle pourrait être contactée à
transparency@digicert.com - Des membres de la communauté ont mis en doute l’indépendance suffisante d’un ombudsman composé uniquement de personnel interne, et DigiCert a indiqué qu’il examinerait l’ajout de membres externes de la communauté ou de personnalités indépendantes
- DigiCert a publié le fonctionnement opérationnel de cette procédure d’ombudsman
- Les signalements peuvent être transmis via
transparency@digicert.comoudigicert.com/transparencyform - La procédure comprend un accusé de réception, l’attribution d’un numéro de dossier, la classification et l’orientation, l’enquête, des mises à jour tous les 7 jours et la rédaction d’un rapport
- Les soumissions anonymes sont possibles, mais si une vérification complémentaire est nécessaire et qu’aucun contact n’est disponible, le dossier peut être fermé immédiatement
- Les signalements peuvent être transmis via
- DigiCert a indiqué s’appuyer, comme ressource de référence, sur une thèse de doctorat de Frank Fowlie consacrée à l’ICANN Ombudsman, et a expliqué vouloir faire évoluer le programme de manière continue
- Certains membres de la communauté se sont opposés à l’idée défendue par DigiCert selon laquelle un ombudsman serait nécessaire pour toutes les AC, estimant qu’une réponse plus favorable à la confiance dans le WebPKI serait de sanctionner plus fermement les AC recourant à des menaces juridiques
Résumé de clôture et état du dossier
- Le résumé final de clôture de DigiCert indique que le 11 novembre 2024, le cabinet d’avocats mandaté par DigiCert a envoyé une mise en demeure à Sectigo, et que DigiCert n’avait pas suffisamment pris en compte l’impact potentiel de cette lettre sur les communications dans Bugzilla et d’autres forums
- Les causes de l’incident ont été résumées comme suit : perceived misinformation autour de la TRO, relation de concurrence et surréaction
- Comme remédiation, DigiCert a présenté des excuses officielles à Sectigo et à l’ensemble de la communauté WebPKI, la création d’un programme d’ombudsman, l’ajout de membres indépendants et un protocole d’examen des communications juridiques
- L’entreprise s’est engagée à traiter dans le Bugzilla concerné les problèmes techniques, malentendus et questions de politique liés aux incidents actifs ; si elle estime nécessaire d’utiliser un canal juridique dans le cadre d’un incident actif, elle publiera cette décision et cette action dans le Bugzilla correspondant
- Enfin, un final call sollicitant d’éventuels commentaires ou questions supplémentaires de la communauté a été publié, avec une clôture annoncée aux alentours du 17 septembre 2025
1 commentaires
Avis sur Hacker News
En résumé, DigiCert a procédé à plusieurs reprises à des reports de révocation de certificats au-delà de ce qu’autorisent les Baseline Requirements ; les cas récents sont https://bugzilla.mozilla.org/show_bug.cgi?id=1896053 et https://bugzilla.mozilla.org/show_bug.cgi?id=1910805
Dans le premier cas, il semble que la révocation ait été retardée pour ménager un client précis ; dans le second, elle n’a pas pu être effectuée à temps à cause d’une ordonnance restrictive temporaire (TRO)
Tim Callan, de Sectigo, a publiquement critiqué DigiCert dans les deux cas, estimant que l’entreprise n’avait pas tenu tête à ses clients avec suffisamment de fermeté ; il existe notamment une inquiétude que des moyens comme les TRO soient utilisés plus fréquemment pour retarder des révocations
Sectigo et d’autres acteurs de l’écosystème WebPKI semblent vouloir que DigiCert communique très clairement sa politique de révocation à ses clients, et garantisse que ceux-ci puissent effectivement remplacer leurs certificats dans les délais
Même si Sectigo est la voix la plus audible, il ne semble pas être le seul à demander que les révocations retardées de DigiCert soient encadrées ; l’escalade vers des menaces juridiques est donc vraiment inappropriée, et DigiCert pourrait subir un sérieux retour de bâton à cause de cette tactique
L’entreprise ne semble pas vouloir modifier ses documents juridiques pour empêcher ses clients d’engager des actions en justice à propos des révocations de certificats, et jusqu’ici ces actions juridiques ont joué en faveur de DigiCert
Pour une entreprise dont toute l’activité consiste à vérifier les noms d’entreprises et à traiter les procédures de CA, elle paraît assez peu encline à respecter ces mêmes procédures
On ne peut sans doute pas empêcher un client techniquement incompétent comme Alegeus Technologies LLC de demander une TRO, mais ce n’est pas la première fois que les procédures appropriées ne sont pas suivies
Tenter de faire taire les discussions négatives par voie judiciaire paraît particulièrement mesquin pour une CA, et venant de DigiCert, déjà objet de soupçons et de défiance, cela ressemble à une ultime tentative désespérée d’éviter les critiques
Les clients apprécieront peut-être que DigiCert n’impose pas le remplacement des certificats aux échéances prévues, mais si les choses dérapent et que DigiCert est retiré des listes de confiance, ils auront soudain la mauvaise surprise de devoir trouver un autre fournisseur de certificats
Elle paraît tout à fait raisonnable
Ce qui rend les drames autour de la Web PKI toujours surprenants, c’est que c’est l’un des rares domaines au monde où, quand des entreprises « font les malines », elles subissent généralement presque aussitôt un « retour de bâton » très froid
Les différentes entités qui décident quelles CA sont dignes de confiance peuvent, en pratique, démanteler presque instantanément n’importe quelle activité de CA dans le monde
Si DigiCert joue à ce jeu et perd, ce serait le plus gros perdant à ce jour ; pour autant que je sache, DigiCert est la plus grande CA d’Internet
Si la plus grande CA d’Internet était retirée des magasins de confiance, cela enverrait un message fort et provoquerait aussi un grand chaos, mais il n’y a pas vraiment de raison que ce soit impossible
Bien sûr, je pense que cette éventualité reste peu probable, mais imaginer la personne chez DigiCert qui a jugé bon de faire intervenir le service juridique se faire remonter les bretelles pour le restant de sa vie a déjà quelque chose de réjouissant
J’ai lu le fil en question, et il ne donne pas une bonne image de DigiCert ; malgré tout, je pense que cette action est bien plus dommageable pour DigiCert que tout ce que Collan a pu dire
[1] https://bugzilla.mozilla.org/show_bug.cgi?id=647959
Pour une procédure de retrait de confiance concernant une CA de cette taille, il serait plus logique de ne plus accepter les nouveaux certificats émis après une certaine date
Ainsi, les clients existants peuvent être prévenus à l’avance et apprendront la mauvaise nouvelle au moment du renouvellement normal, plutôt que de la découvrir soudainement pendant que la personne responsable est en vacances
Les fils récents sur DigiCert ont une odeur étrangement similaire à la séquence qui avait mené à l’affaire Entrust
Combien de personnes, voyant encore une autre manière dont une entité inconnue et sans visage peut casser quelque chose, décideraient de désactiver définitivement les mises à jour automatiques et de choisir elles-mêmes à qui faire confiance ?
Cela enverrait assurément un message fort, mais probablement pas celui qui était recherché
Au final, cela ne ferait qu’accroître la défiance envers la PKI centralisée dans son ensemble
D’après Bugzilla, la véritable raison du tiret bas est de permettre aux services où les utilisateurs peuvent créer des enregistrements DNS sur des sous-domaines — par exemple les services de DNS dynamique — d’empêcher l’enregistrement de sous-domaines commençant par un tiret bas, afin d’éviter l’émission de certificats non souhaités.
C’est le même rôle que joue
/.well-knowndans les méthodes convenues de modification de sites web, ou que jouent admin/administrator/webmaster/hostmaster/postmaster dans les adresses e-mail de contact d’un domaine.En utilisant des enregistrements DNS sans tiret bas, DigiCert a donc brisé une hypothèse de sécurité essentielle sur laquelle ces services s’appuyaient.
C’est donc vraiment un incident de sécurité majeur, et une erreur catastrophique d’une ampleur énorme.
À ce stade, je ne sais pas si l’on peut encore faire confiance aux certificats DigiCert.
L’auteur de ce commentaire est Andrew Ayer, qui écrit aussi sur son blog d’excellents articles sur les incidents et procédures liés aux CA : https://www.agwa.name/blog/index
Il y a toujours deux versions des faits, mais chez DigiCert, la personne qui a introduit le bug de validation a déjà démissionné à cause de cette affaire, ce qui est en soi extrême.
La personne de chez Sectigo voulait empêcher la fermeture du bug afin de continuer à obtenir davantage de réponses sur la réactivité globale de DigiCert, et, subjectivement, elle l’a fait d’une manière assez agressive.
Un certain niveau de débat contradictoire est acceptable et prévisible, mais si l’on continue à mettre la pression sur une partie qui dispose de sa propre équipe juridique, elle finira par en parler avec le service juridique devant la machine à café, et dès que celui-ci s’y intéresse, cela devient son problème.
Le premier principe est donc de ne même pas prononcer le mot juridique si l’on ne veut pas faire intervenir les juristes.
La réponse actuelle n’est qu’une lettre demandant de reculer, et c’est précisément pour cela que les services juridiques existent : permettre aux parties de se disputer.
Simplement, cette fois-ci, l’affaire a fuité publiquement.
Je comprends l’idée selon laquelle une CA ne devrait pas assumer de risque juridique dans le cadre d’un processus de discussion, mais cela entre en conflit avec le fait que ce sont des acteurs commerciaux qui protègent leurs propres intérêts.
On ne peut pas avoir les deux à la fois tant que toutes les CA ne sont pas non commerciales, et même dans ce cas, il y aurait des limites.
Comme avec toute personne responsable de la stratégie de l’entreprise.
L’action du service juridique a eu un effet boomerang.
Il a été conservé comme contractuel, et il est probablement en attente d’une éventuelle réintégration.
C’est une information qui a été mal comprise.
C’est choquant.
Le simple fait de tenter d’empêcher, par du harcèlement juridique, des prises de parole légitimes de contributeurs à la Web PKI renverse complètement la finalité et les objectifs de l’organisation ; personnellement, je trouve que cela suffit à justifier l’abandon immédiat de tout ce qui est lié à DigiCert.
Historiquement, la façon de traiter une CA problématique consiste à gérer les dommages immédiats, puis à empêcher l’émission de nouveaux certificats ou les renouvellements.
Beaucoup d’entreprises légitimes utilisent DigiCert, et elles devraient pouvoir s’attendre à continuer leur activité à court terme le temps de trouver un autre fournisseur de certificats.
En regardant le rapport original (https://bugzilla.mozilla.org/show_bug.cgi?id=1910322), on voit plusieurs questions auxquelles DigiCert semble se dérober.
Dans le dossier public d’Alegeus Technologies LLC v. DigiCert, on ne voit aucune tentative de contester l’ordonnance du tribunal avant la fin de la période de préférence de près de 120 heures, alors que, si une telle requête avait été déposée, DigiCert aurait pu révoquer les certificats quelques jours plus tôt.
Une autre question, dans le commentaire 28, portait sur la formulation qui déterminait le droit de DigiCert de révoquer les certificats d’Alegeus Technologies.
DigiCert a été fluctuante sur ce point : elle a d’abord laissé entendre que cette formulation figurait sur le site web, puis a ensuite refusé de confirmer si le texte présent sur le site à l’époque s’appliquait à Alegeus Technologies.
À titre de supposition, DigiCert a peut-être accordé à Alegeus et à d’autres clients des conditions particulières, et elle n’a peut-être pas contesté la TRO au tribunal faute de base contractuelle suffisante.
Il se peut également que ce contrat contienne une clause de confidentialité qui l’empêche d’en parler.
Il est surprenant que le forum ait laissé clore cette question alors que les questions citées ci-dessus n’avaient pas reçu de réponse, mais je n’ai pas lu l’intégralité du fil lié, donc il est possible que des réponses aient été apportées ailleurs.
En outre, la réponse de DigiCert dans un autre fil (https://bugzilla.mozilla.org/show_bug.cgi?id=1910805#c43) semble contredire cette hypothèse.
Notamment le passage selon lequel « les TOU et le MSA de DigiCert interdisaient à Alegeus cette action, mais lorsque Alegeus a demandé une TRO et que le tribunal l’a accordée presque immédiatement, DigiCert s’est retrouvée les mains liées ».
Je me demande si le CAB Forum aurait qualité pour agir contre Alegeus, ou contre ce juge, pour avoir perturbé les procédures de la PKI avec une TRO invalide.
Que s’est-il passé pendant les un peu plus de deux mois écoulés depuis les dates auxquelles ces lettres font référence ?
Cela contredit manifestement les menaces juridiques visant Sectigo
C’est donc pour informer la communauté de ce que DigiCert avait réellement fait que Sectigo a ouvert le bug Threat of legal action
Si DigiCert n’avait pas laissé ce commentaire, Sectigo serait peut-être restée silencieuse
Les autorités de certification bénéficient d’une confiance énorme de la part de tous les internautes, que ces utilisateurs en soient conscients ou non
Cette confiance s’accompagne aussi d’une responsabilité considérable, et comme leur nom l’indique, les Baseline Requirements sont le minimum à atteindre
Si elles ne peuvent pas, ou ne veulent pas, révoquer les certificats émis dans les délais requis, elles ne méritent pas cette confiance et doivent être retirées
Je comprends qu’une TRO ait empêché la révocation d’environ 70 certificats et que, dans ce cas, il n’y avait effectivement pas grand-chose d’autre à faire
Mais les autres échecs de révocation sont inexcusables
Le bug a été mis à jour avec la réponse de DigiCert
Chacun pourra en tirer ses propres conclusions, mais la phrase suivante de DigiCert m’a vraiment fait rire
« En réalité, la lettre que nous vous avons adressée s’inscrivait dans notre volonté de favoriser un dialogue ouvert et honnête »
Même en acceptant telle quelle la description de l’échange figurant dans la lettre de DigiCert, la personne côté Sectigo était, dans le meilleur des cas, difficile, et dans le pire, faisait peut-être intentionnellement du trolling
Je ne pense pas que ce soit réellement le cas, mais si l’on joue l’avocat du diable, c’est ainsi qu’on pourrait le voir
Malgré cela, comment DigiCert a-t-elle pu penser que l’intervention du service juridique allait bien se passer ?
Sectigo n’avait rien à perdre et pouvait obtenir de la visibilité en rendant l’affaire publique auprès du CAB, comme elle l’a fait ici, et le CAB n’allait pas réconcilier les deux entreprises comme un conseiller conjugal
En plus, ce genre d’échanges ultra-polis, passifs-agressifs, façon « en fait », se produit dans toutes les discussions d’incident du CAB
Je ne comprends pas pourquoi DigiCert s’est particulièrement énervée sur cette affaire
L’action juridique de DigiCert paraît étrange, et l’idée que les clients d’une entreprise puissent utiliser le système judiciaire pour empêcher cette entreprise de remplir ses obligations envers d’autres entités semble poser un vrai problème dangereux
Mais à voir les échanges dans le fil, on voit mal comment traiter cela de manière productive
On dirait une pièce où des drones d’entreprise typiques et des geeks IRC typiques se renvoient leurs répliques sur scène : les deux camps tournent autour d’un sujet intéressant, mais à force de se chamailler, ils n’atteignent jamais vraiment le cœur du problème