Le petit cadenas à côté de l’adresse d’un site, on nous a appris à lui faire confiance. « S’il y a le cadenas, c’est sécurisé. » Sauf que fin septembre 2026, des pirates ont réussi à obtenir des certificats parfaitement valides pour des domaines de Google et YouTube, sans jamais toucher aux serveurs de Google. Leur porte d’entrée ? Trois extensions de pays : .gh (Ghana), .sl (Sierra Leone) et .as (Samoa américaines).
Google a révélé l’affaire le 6 octobre sur son blog de sécurité. Depuis, les chercheurs épluchent les registres publics et le tableau s’assombrit : d’autres grandes marques, encore anonymes, ont été touchées. On vous explique tout, du cadenas jusqu’aux registres de noms de domaine.
| 🔵 Pour les débutants : c’est quoi un certificat TLS ? Un certificat TLS est la carte d’identité numérique d’un site web. Il prouve à votre navigateur que vous parlez bien au vrai google.com, et pas à un imposteur, puis permet de chiffrer la conversation. C’est lui qui fait apparaître le cadenas et le « https » dans la barre d’adresse. Ces cartes d’identité sont délivrées par des autorités de certification (AC), comme Let’s Encrypt, des organismes en qui votre navigateur a confiance par défaut. |
Ce qui s’est passé, en résumé
- Entre le 22 et le 27 septembre 2026, des attaquants compromettent les opérateurs tiers qui gèrent les extensions .gh, .sl et .as.
- Ils modifient l’annuaire (le DNS) de domaines choisis, pour les faire pointer vers leurs propres machines.
- Ils demandent alors des certificats à des autorités de certification automatisées, qui vérifient… et valident, puisque les pirates contrôlent désormais l’annuaire.
- Au moins 12 certificats visent des noms de Google et YouTube : 11 émis par Let’s Encrypt, 1 par ZeroSSL, couvrant sept domaines.
- Google bloque ces certificats dans Chrome et obtient leur révocation entre le 26 septembre et le 1er octobre, puis publie l’alerte le 6 octobre.
Comprendre l’attaque : l’annuaire, le notaire et l’imposteur
Pour saisir la ruse, imaginons trois personnages.
1. L’annuaire (le DNS)
Quand vous tapez une adresse, votre ordinateur consulte un annuaire géant, le DNS, qui lui indique à quelle machine s’adresser. Chaque extension de pays (.fr, .gh, .sl…) a son propre registre, une sorte de mairie qui tient le cadastre de ses noms de domaine. Google possède des domaines dans presque tous les pays du monde, comme google.com.gh au Ghana.
2. Le notaire (l’autorité de certification)
Pour obtenir un certificat, il faut prouver qu’on contrôle le domaine. L’autorité de certification dit en substance : « Placez ce code secret dans l’annuaire de votre domaine, je vérifie, et je vous délivre le certificat. » C’est ce qu’on appelle la validation de domaine. Rapide, automatique, et très pratique, c’est d’ailleurs ce qui a permis de généraliser le HTTPS sur le web.
3. L’imposteur
Les pirates n’ont pas forgé de faux papiers. Ils ont fait bien plus malin : ils ont soudoyé la mairie (en compromettant le registre), réécrit le cadastre pour se déclarer propriétaires, puis sont allés voir le notaire, qui a vérifié le cadastre… et a signé. Le certificat obtenu est donc techniquement authentique. Google le dit lui-même : il n’a « aucune raison de penser » que les autorités de certification aient mal agi.
| 🔴 Pourquoi c’est grave Avec le contrôle de l’annuaire et un certificat valide, un pirate peut afficher une copie parfaite d’un site, cadenas compris. Votre navigateur n’y voit que du feu. C’est la recette idéale pour du hameçonnage (vol d’identifiants) ou de l’interception de données. À ce stade, rien n’indique publiquement que ces certificats aient été utilisés contre des internautes. |
Comment Google a repéré (et bloqué) les faux certificats
Les registres de transparence
Depuis une dizaine d’années, chaque certificat émis doit être inscrit dans des journaux publics appelés Certificate Transparency (CT). Imaginez un grand livre où chaque notaire du monde doit recopier chaque acte qu’il signe, consultable par tous. C’est en fouillant ces journaux que Google, puis des chercheurs indépendants, ont trouvé les certificats illégitimes, y compris pour d’autres entreprises.
Le bouton d’urgence de Chrome
Chrome dispose d’un mécanisme baptisé CRLSet : une liste noire de certificats que Google pousse discrètement à tous les navigateurs Chrome, sans même attendre une mise à jour complète. Google s’en est servi pour bannir les certificats visant ses domaines, puis ceux des autres organisations repérées.
Les autorités de certification ont ensuite révoqué les certificats, ce qui protège aussi, en théorie, les autres navigateurs. Firefox utilise de son côté un système appelé CRLite. Mais, prévient Google, la vérification de révocation dans les autres navigateurs reste moins fiable : leurs utilisateurs peuvent rester exposés plus longtemps.
Le chronogramme de l’affaire
| Date | Événement |
| 22 sept. 2026 | Premiers certificats illégitimes pour des domaines en .gh |
| 25 sept. 2026 | Vague sur les domaines en .sl |
| 26 sept. 2026 | Révocation des certificats .gh et de celui de ZeroSSL |
| 27 sept. 2026 | Vague sur les domaines en .as |
| 1er oct. 2026 | Révocation des neuf derniers certificats Google/YouTube identifiés |
| 6 oct. 2026 | Google publie son billet « Chrome’s Response to Recent ccTLD Registry Hijacks » |
| 7 oct. 2026 | Let’s Encrypt confirme sur son forum |
L’Afrique, maillon faible ? Pas si simple
Deux des trois extensions visées sont africaines. Et ce n’est pas une première : en mai 2026, l’extension .ug (Ouganda) avait déjà subi un détournement similaire, visant notamment des domaines de Google, YouTube et Microsoft. Plus tôt encore, un certificat avait été émis pour google.tg après la compromission du registre du Togo.
Faut-il y voir une fragilité propre au continent ? La réponse est nuancée. Beaucoup de petites extensions nationales, en Afrique comme dans le Pacifique, sont gérées par des opérateurs tiers aux moyens limités, parfois avec des interfaces d’administration vieillissantes. Pour un attaquant, ce sont des cibles plus tendres que le registre d’un .com ou d’un .fr. Mais le problème est mondial : il suffit qu’un seul maillon de la chaîne cède pour que la confiance s’effondre partout. La campagne d’espionnage « Sea Turtle », documentée par Cisco Talos, avait exploité la même faiblesse sur plusieurs registres.
| 🟡 Pour nos lecteurs d’Afrique de l’Ouest Si vous gérez un site en .gh ou .sl (entreprise, administration, média), vérifiez dès maintenant les certificats émis pour votre nom de domaine sur crt.sh (gratuit). Un certificat que vous n’avez jamais demandé est un signal d’alarme. Google recommande précisément cette vérification aux détenteurs de ces extensions. |
Ce qu’un tel incident rappelle : l’affaire DigiNotar
En 2011, l’autorité néerlandaise DigiNotar avait été piratée et avait délivré un faux certificat « joker » couvrant tous les sous-domaines de google.com, utilisé, selon les chercheurs, pour espionner des internautes iraniens. DigiNotar a fait faillite dans les semaines suivantes. La différence majeure avec 2026 ? Cette fois, ce n’est pas le notaire qui a été corrompu, mais la mairie. Les autorités de certification ont respecté leurs règles à la lettre, ce qui rend l’attaque plus insidieuse.
Ce que vous devez faire (et ne pas faire)
Vous êtes un simple internaute
- Sur Chrome : Google affirme que vous n’avez rien à faire, vous êtes protégé.
- Sur un autre navigateur : gardez-le à jour (Firefox, Edge, Safari, Brave…). C’est la meilleure façon de recevoir les listes de révocation.
- Le cadenas ne suffit pas : il prouve que la connexion est chiffrée, pas que le site est honnête. Méfiez-vous des liens reçus par SMS ou e-mail, même s’ils mènent à un « google » quelque chose.
- Activez la double authentification (clé de sécurité ou application) sur vos comptes Google : même si un faux site vole votre mot de passe, il ne suffira pas.
Vous gérez un site ou une entreprise
- Surveillez les journaux CT pour tous vos domaines, y compris ceux que vous n’utilisez pas (domaines « parkés » ou régionaux). Des services gratuits comme Cert Spotter envoient des alertes.
- Publiez un enregistrement CAA restrictif dans votre DNS : il indique quelles autorités ont le droit de vous délivrer un certificat, idéalement liées à votre compte (norme RFC 8657).
- Activez le verrouillage de registre (« registry lock ») chez votre bureau d’enregistrement quand il est proposé.
- Traitez votre registre et votre hébergeur DNS comme des fournisseurs critiques, avec le même niveau d’exigence que votre hébergeur web.
| 🔴 La limite du CAA Un enregistrement CAA n’empêche pas l’émission pendant que le pirate contrôle votre DNS, puisqu’il peut aussi le modifier. Son intérêt est ailleurs : une fois le contrôle récupéré, il empêche l’attaquant de réutiliser une validation déjà obtenue (Let’s Encrypt garde ces validations en mémoire jusqu’à 30 jours, et les règles du secteur en autorisent aujourd’hui jusqu’à 200). |
Et la suite ?
Google rappelle que l’industrie avance déjà vers des certificats à durée de vie plus courte et une réutilisation des validations réduite : 100 jours maximum à partir de mars 2027, 10 jours en mars 2029, selon les règles du CA/Browser Forum. Let’s Encrypt vise même sept heures d’ici 2028. Moins un certificat vit longtemps, moins un faux certificat est dangereux.
Mais la vraie leçon est plus inconfortable : la sécurité du web repose sur une chaîne de confiance très longue, et son maillon le plus faible peut se trouver dans un petit registre à l’autre bout du monde, que personne ne surveillait vraiment.
À vous la parole
Notre avis : l’incident n’a probablement pas fait de victimes massives, grâce à la réactivité de Google. Mais il montre qu’un « cadenas vert » peut être obtenu sans jamais toucher le site visé. C’est un rappel salutaire, et un peu vertigineux.
- Saviez-vous que le cadenas du navigateur ne garantit pas qu’un site est honnête ?
- Si vous gérez un site, avez-vous déjà vérifié quels certificats existent pour votre domaine ?
Source : Google