Télécharger les sites web qui utilisent AWS Certificate Manager

À propos de AWS Certificate Manager

Un certificat se lit d’ordinaire comme une preuve d’identité. Celui que délivre ce service se lit plutôt comme la preuve d’une relation avec un fournisseur. AWS Certificate Manager ne dit rien de l’entreprise derrière le domaine, ni de sa taille, ni de son marché, ni de quoi que ce soit dans sa stack au-dessus de la couche de transport. Ce que le certificat dit, en revanche, c’est que l’exploitant possède un compte chez un fournisseur de cloud précis et lui a confié l’émission et le renouvellement.

AWS Certificate Manager figure chez nous dans la catégorie SSL/TLS certificate authorities, vient d’Amazon Web Services et émet des certificats publics depuis 2016. Le service existe pour retirer le renouvellement des certificats de la liste des choses qu’une équipe d’exploitation peut oublier, et le fournisseur le présente comme un moyen d’obtenir des certificats aussi bien pour ses propres services intégrés que pour des charges hybrides et multicloud. Une telle largeur d’emploi est précisément ce qui borne le signal. Un site qui présente l’un de ces certificats est client du fournisseur de cloud, mais le point d’entrée avec lequel le navigateur dialogue peut être un répartiteur de charge, une distribution de diffusion de contenu ou une passerelle applicative à l’intérieur de ce compte, comme il peut tout aussi bien s’agir d’un conteneur ou d’un serveur installé sur site, ailleurs.

En octobre 2026, le certificat apparaît sur 540 622 sites. Sur ce total, 377 524 sites se trouvent aux États-Unis, et .com traverse toute l’empreinte, ce qui ressemble assez bien à une plateforme de cloud qui vend partout et facture dans une seule monnaie. Toute lecture géographique demande de la prudence avec un service de cloud, parce que le pays que nous attribuons est celui du site et de son audience, pas celui de la région où tourne la charge de travail.

Pour un chercheur, l’intérêt pratique de ce marqueur tient à ce qu’il découpe le web par infrastructure et non par intention. Les fournisseurs de cloud et leurs partenaires s’en servent pour trouver les comptes déjà engagés chez un concurrent. Les équipes de sécurité et de conformité le prennent comme approximation de l’endroit où l’émission et le renouvellement ont été centralisés, ce qui compte dès lors que la question devient de savoir qui devrait agir s’il fallait remplacer un certificat dans l’urgence. Les fournisseurs qui vendent des produits assurant eux-mêmes la terminaison du chiffrement, des réseaux de diffusion aux pare-feu applicatifs en passant par les proxys inverses, y lisent le signe que la gestion des certificats est déjà automatisée à l’intérieur d’une plateforme rivale.

La détection a des limites qu’il vaut mieux énoncer franchement. Les données d’émetteur ne sont visibles que là où nous menons une négociation complète avec l’origine vers laquelle le domaine pointe réellement, si bien qu’un site placé derrière un proxy tiers présente le certificat de ce proxy et que le certificat géré, en dessous, reste invisible. Les sites qui utilisent le service pour des points d’entrée internes ou privés ne l’exposent jamais publiquement. L’erreur va ici dans le sens de la sous-estimation, et son ampleur n’est mesurable par personne depuis l’extérieur du compte.

Les requêtes domaine par domaine sont un outil mal taillé pour cette question. Savoir qu’un domaine présente un certificat de cet émetteur relève de l’anecdote. Savoir combien de sites, dans un pays, sous une terminaison de domaine, dans un segment d’activité ou dans la liste de clients publiée par un concurrent, partagent cette propriété, voilà une carte de marché, et la construire réclame l’export complet. L’évolution dans le temps fonctionne de la même façon. Deux fichiers comparés d’un trimestre à l’autre montrent les entrées et les sorties de la plateforme à l’échelle de la population entière, et c’est le genre de preuve qui résiste au contact d’un public sceptique. Une boîte de recherche peut confirmer une intuition, mais seul un fichier de population peut étayer un chiffre que vous devrez défendre.