LintTrust

Des certificats X.509, un par un ou par milliers, en DER ou en PEM, sous forme de fichiers ou d'archives zip. Rien d'autre : aucun accès au système de la CA, aucune clé privée, aucun mot de passe.

Au regard des TLS Baseline Requirements du CA/Browser Forum, dix-neuf éditions de la 2.1.2 à la 2.3.0, et des critères TLS de WebTrust for CAs qui les citent. Chaque certificat est jugé au regard de l'édition en vigueur à la date de son émission et au regard de l'édition en vigueur à la fin de la période d'audit.

Non. Il énonce ce que montrent les certificats, clause par clause, et consigne l'appréciation propre de l'auditeur en regard de ses verdicts. L'opinion et la signature restent celles de l'auditeur.

Un linter renvoie des lignes par certificat. LintTrust regroupe les verdicts par critère WebTrust sur l'ensemble de la population, distingue une recommandation d'une exigence, juge au regard de l'édition en vigueur, lit ce qu'un linter autonome ne peut pas lire (la clé de l'émetteur, la chaîne, le profil déclaré) et établit le dossier de travail. Une comparaison indépendante sur les mêmes certificats figure sur cette page.

Ce qu'un certificat ne porte pas : si la CA a validé un nom, si un numéro de série provient d'un générateur aléatoire, si une organisation est une société affiliée. Ces lignes le signalent, et l'auditeur y répond une seule fois, avec un fondement, sous son nom.

Sur les serveurs de LintTrust dans l'Union européenne, une instance isolée par client, accessible en TLS avec un compte et un second facteur. Rien n'est installé chez vous.

Un dossier de travail par mission, en PDF et en Word, dans les écritures que portent les certificats, les éléments probants par certificat, et les certificats eux-mêmes sous forme d'archive zip pour le dossier d'audit. Une CA reçoit un rapport des constats par gravité, avec l'action recommandée.

Votre instance vous appartient : sa base de données, ses fichiers et ses sauvegardes sont séparés de ceux de tout autre client et chiffrés au repos. Le personnel de LintTrust n'y a aucun accès permanent. Une connexion d'un opérateur pour l'assistance n'a lieu qu'à votre demande écrite, et chacune est inscrite dans le journal de votre instance, que vous consultez. Vous pouvez tout exporter et tout supprimer, à tout moment, et recevoir une confirmation écrite de la suppression.

Aucun n'est nécessaire : la démonstration s'appuie sur une PKI fictive conçue à cet effet. Si vous préférez voir vos propres certificats jugés, envoyez un échantillon la veille et ils vous seront présentés.

Une licence annuelle par organisation, selon les référentiels utilisés et le nombre de certificats. Demandez une démonstration et un devis.

Oui, prochainement : les EV Guidelines, les S/MIME Baseline Requirements et les Code Signing Baseline Requirements, ainsi que les critères WebTrust qui les citent, sur le même moteur. Chacun fait l'objet d'une licence en tant que module, de sorte qu'une CA qui n'émet que des certificats TLS ne paie que pour TLS.

Chaque verdict désigne la clause qu'il applique et la valeur qu'il a lue, de sorte qu'il peut être vérifié à la main. Les éditions des Baseline Requirements sont tirées du dépôt du CA/Browser Forum lui-même, commit par commit. Une PKI fictive de 108 certificats, une règle chacun, rédigée à partir du texte avant toute exécution, est jugée à chaque nouvelle version, et des contrôles indépendants par comparaison avec zlint et pkilint sont publiés sur cette page.

Dans l'Union européenne, en France, sur des serveurs exploités par LintTrust, une instance isolée par client. Un accord de traitement des données au titre du RGPD fait partie de chaque contrat, quelle que soit la juridiction du client.