Le certificat numérique permet d'échanger des messages signés et cryptés entre utilisateurs (d'un même serveur ou de serveurs différents).

Par exemple si l'utilisatrice Alice veut envoyer et recevoir des messages cryptés elle doit posséder (ainsi que son correspondant) un certificat numérique personnel.

Ce certificat doit être généré par une autorité de certification à la demande d'Alice (certificat S/MIME, aka Email Client Certificates ou Client Certificates ou Personal ID Certificates).

Le certificat doit être créé au format .pem afin d'être accepté par le Client Web. Il contient la clé privée, la clé publique et les certificats intermédiaires si besoin.

Le site Actalis.com (https://shop.actalis.com/store/ww-en/s-mime-certificates) propose des certificats S/MIME gratuits qui certifient l'adresse email. Ils sont protégés par un mot de passe.

Ce certificat peut être chargé directement dans les paramètres du compte WebClient.

Attention : le certificat numérique contient les clés privée et publique d'Alice, il est sa propriété et il ne doit pas être diffusé à d'autres personnes. Seule la clé publique peut et doit être diffusée.

Mettre le certificat sur le compte d'Alice

Le certificat contenant les clés privée et publique (au format .pem) doit être placé dans les données du compte d'Alice:
WebClient d'Alice -> Paramètres (ou Options suivant les versions) -> onglet Comptes -> Certificats privés

A partir de ce moment, Alice peut envoyer des messages signés numériquement.

Mettre la clé publique d'Alice à disposition de tous

Pour que les correspondants d'Alice puissent lui envoyer des messages cryptés, ils doivent posséder sa clé publique. Plusieurs possibilités.

1 - Envoyer un message signé
A partir du moment où un certificat personnel est sur le compte d'Alice, celle-ci peut envoyer un message signé numériquement en cochant l'option "signé" dans les Options du message.

Dans ce cas, la clé publique est transmise avec le message et peut donc être récupérée par le destinataire (fonction "Ajouter au contact" sur le symbole du certificat) :

 
Le destinataire, peut maintenant vérifier la signature d'Alice.

2 – Mettre le certificat dans la GAL
Pou les comptes locaux, le mieux est que le certificat public d'Alice soit disponible dans la GAL (Global Address List) publique si elle existe.
Pour ce faire, le certificat public doit être placé dans les données personnelles de l'entrée Alice dans la GAL.
Le plus simple est d'envoyer un message signé à un compte qui a des droits de modifications sur la GAL. Ce compte pourra introduire la clé publique dans l'entrée Alice dans la GAL. Elle sera alors disponible pour tous les membres de la GAL.
On peut aussi utiliser la méthode décrite en annexe.

Envoyer un message crypté

Si Bob veut envoyer un message crypté à Alice, il doit connaître la clé publique d'Alice.
NB : L'interface WebClient l'oblige à avoir aussi son propre certificat.

Pour avoir le certificat public d'Alice, il faut :
-    Soit qu'il ait le certificat d'Alice dans le contact Alice de son carnet d'adresses (Voir le point 1 ci-dessus)
-    Soit que le certificat public soit dans la GAL publique (voir le point 2 ci-dessus)



Annexe
Récupération de la clé publique
Si le certificat d'origine d'Alice (en .pem) est disponible, il faut en extraire la clé privée pour qu'il ne contienne plus que la clé publique.
Ce certificat peut être récupéré dans le dossier mail d'Alice :
...\Mail\domaine\alias\CertAlice.pem

Le certificat .pem se présente de cette façon :
-----BEGIN PRIVATE KEY-----
...
-----END PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
Il suffit de supprimer les balises "PRIVATE KEY" et ce qu'elles contiennent.

Si le certificat .pem n'est pas disponible, il faut d'abord récupérer la clé publique : aller dans Paramètres -> Comptes, sélectionner le certificat puis cliquer sur "Télécharger".
Le certificat public est téléchargé au format alice@domain.der
Ce format n'est pas compatible avec les données personnelles d'Alice, il faut le convertir. On peut utiliser "openssl"  :
openssl x509 -inform der -in C:\alice@domain.der -out C:\alice@domain.pem
Le certificat public une fois créé peut être installé dans les données personnelles d'Alice (onglet Certificat -> Charger)