CRL : pourquoi ce format a retrouvé un rôle central en 2025

Une CRL liste les certificats qu’une autorité de certification a révoqués avant leur expiration naturelle (à la suite d’une compromission de clé privée, par exemple) et que les logiciels ne doivent donc plus considérer comme valides malgré une date d’expiration encore lointaine. Elle est elle-même signée par l’autorité pour garantir son authenticité.

Le récit habituel : une CRL remplacée par l’OCSP

Le protocole OCSP (Online Certificate Status Protocol), qui interroge l’autorité de certification en temps réel pour un seul certificat plutôt que de télécharger une liste complète, s’est longtemps imposé comme le successeur naturel de la CRL : plus léger à interroger pour un client qui ne s’intéresse qu’à un seul certificat, il évitait le téléchargement d’une liste pouvant grossir avec le nombre de révocations.

Le revirement de 2025

Let’s Encrypt, l’autorité de certification qui émet la plus grande part des certificats TLS du web, a annoncé en décembre 2024 l’arrêt complet de son service OCSP, remplacé exclusivement par des CRL. Le calendrier annoncé : à partir du 30 janvier 2025, les nouvelles demandes de certificats avec l’extension OCSP Must-Staple ont cessé d’être acceptées pour les comptes qui n’en avaient jamais utilisé ; à partir du 7 mai 2025, les certificats nouvellement émis n’embarquent plus d’URL OCSP mais une URL de CRL ; et depuis le 6 août 2025, les répondeurs OCSP de Let’s Encrypt sont définitivement arrêtés.

La raison invoquée est la confidentialité : chaque requête OCSP envoyée par un navigateur révèle à l’autorité de certification quel site précis un visiteur consulte, à quel moment ; une CRL, téléchargée en bloc et mise en cache localement, ne transmet aucune information sur les sites consultés ensuite.

Ce que cela change concrètement

Pour un site web classique, ce changement est transparent : les navigateurs majeurs ne bloquent pas la navigation en cas de CRL ou d’OCSP indisponible (comportement dit « soft-fail »), et la validation de certificat continue de fonctionner sans action du propriétaire du site. Le changement peut en revanche affecter des logiciels non-navigateurs qui interrogeaient spécifiquement l’OCSP de Let’s Encrypt sans savoir consulter une CRL en repli, un point à vérifier pour tout outil de vérification de certificats développé en interne ou intégré à une infrastructure (VPN, authentification client par certificat).

Une CRL téléchargée reste valide jusqu’à sa propre date d’expiration (nextUpdate) : un point de distribution CRL temporairement injoignable n’empêche donc pas la vérification tant qu’une copie encore valide est déjà en cache, contrairement à l’OCSP qui dépend d’une requête réseau à chaque vérification.