Le 22 octobre 2026, eMudhra Limited a annoncé que son conseil d’administration avait décidé de se retirer de l’activité mondiale de certificats SSL/TLS. Pour les clients, l’entreprise prévoit une transition avec le maintien de ses racines G1 RSA, des certificats de remplacement gratuits fournis par des partenaires et la poursuite des services de révocation et de statut des certificats.

NeoTeo avait déjà couvert la révocation des huit intermédiaires et l’alternative de Sectigo. L’annonce du conseil précise désormais les mesures prévues pour accompagner les clients pendant le retrait.

Ce que la transition prévoit pour les clients

eMudhra dit vouloir contacter les clients concernés et leur fournir gratuitement des certificats de remplacement par l’intermédiaire de partenaires. Les racines G1 RSA doivent continuer à servir les clients pendant la transition. L’entreprise prévoit aussi de maintenir les services de révocation et de statut jusqu’à ce que chaque certificat émis ait expiré ou ait été remplacé.

Huit intermédiaires concernés, dont deux pour la signature de code

Mozilla recense huit certificats d’autorité intermédiaire concernés par les clés faibles : six servaient au TLS et deux à la signature de code. Un certificat intermédiaire peut signer des certificats finaux, utilisés par des sites web ou des logiciels.

Le 17 octobre 2026, Mozilla a récupéré de façon indépendante les huit clés privées P-384. Leurs valeurs privées étaient des nombres inférieurs à 256. Mozilla indique qu’eMudhra a révoqué les huit intermédiaires le 18 octobre. De son côté, eMudhra a déclaré qu’aucun certificat final n’avait été émis par les autorités concernées.

L’explication préliminaire d’eMudhra sur les clés faibles

Dans son explication préliminaire, eMudhra a situé la cérémonie de génération des clés concernées au 30 avril 2025. L’entreprise a décrit un défaut de script associé à une étape de wrap/unwrap, qui encapsule puis restitue une clé. Selon ce récit, le défaut aurait créé des clés faibles en parallèle des clés prévues; des clés portant des libellés similaires auraient ensuite été utilisées par erreur pour produire des demandes de signature de certificat.

eMudhra a également déclaré que son infrastructure n’avait pas été compromise et qu’aucune donnée n’avait été violée.

Les raisons avancées par l’entreprise et les autres services

eMudhra a indiqué que l’activité SSL/TLS représentait environ 1 % de son chiffre d’affaires mondial. Pour expliquer son retrait, l’entreprise a aussi cité le coût et la complexité croissants de la conformité et des exigences de souveraineté des données, la concurrence des certificats gratuits et l’attention suscitée par l’incident.

L’entreprise affirme que ses activités de signature numérique, eSign, PKI d’entreprise, signature électronique, identité et authentification reposent sur une infrastructure distincte et ne sont pas touchées par cet incident.