- Hiérarchie à deux niveaux recommandée : une AC racine hors ligne (autonome, jamais connectée au réseau, allumée seulement pour signer les AC subordonnées et publier sa liste de révocation) et une ou plusieurs AC émettrices d'entreprise intégrées à l'AD.
- Les clés des AC méritent une protection forte (HSM idéalement) ; sauvegardez la base et la clé de chaque AC.
- CRL (listes de révocation) et delta CRL, publiées aux points de distribution (CDP) indiqués dans chaque certificat ; AIA pour retrouver le certificat de l'AC émettrice ; OCSP (répondeur en ligne) pour une vérification rapide.
- Publiez CDP et AIA en HTTP (accessible partout), pas seulement en LDAP. Si la CRL expire ou est inaccessible, la validation des certificats échoue : surveillez-la.
- Durées de validité cohérentes : racine longue (ex. 10-20 ans), émettrice plus courte, certificats finaux courts.
- Algorithmes : RSA 3072 bits ou plus, ou ECDSA P-256 ; SHA-256 minimum.
certutil -ping # l'AC répond-elle ?
certutil -verify -urlfetch cert.cer # vérifie chaîne, CDP, AIA et OCSP
certutil -CRL # publier une nouvelle CRL (sur l'AC)
pkiview.msc # état de la PKI d'entreprise