Un certificat oublié a coupé Outlook et Teams pendant 22 heures. C'est quoi, un certificat ?

Lundi soir, 19 h 30 chez nous. Des dizaines de milliers de personnes se retrouvent devant un Outlook qui refuse de s'ouvrir, un Teams qui tourne dans le vide et un SharePoint qui répond « something went wrong ». Microsoft ouvre un ticket, EX1464935, et écrit qu'elle enquête sur « un problème lié à une configuration d'authentification centrale ».

Jolie phrase. Voilà la version non maquillée, telle qu'elle est apparue dans les journaux d'erreurs des administrateurs qui cherchaient à comprendre :

The cert with thumbprint
19F04B8A233DD9CE916F118056D224A1751729EA is expired

Traduction : le certificat numéro machin a expiré. Quelqu'un, chez Microsoft, a oublié de renouveler un fichier avant sa date. Et la moitié des bureaux de la planète s'est arrêtée pendant près de 22 heures.

Le vigile n'a rien fait de mal. C'est sa propre carte qui est périmée.

C'est quoi, un certificat ?

C'est une carte d'identité pour machines. Rien de plus.

Quand ton ordinateur se connecte à un serveur, il a un problème très concret : n'importe qui peut prétendre être Microsoft. Alors le serveur présente un fichier signé par une autorité reconnue, qui dit en substance « je suis bien le serveur de courrier de Microsoft, et voici la preuve mathématique que je ne suis pas un imposteur ». C'est le petit cadenas dans la barre d'adresse de ton navigateur. Derrière ce cadenas, il y a exactement ça.

Et comme une carte d'identité, ce fichier porte une date de fin. Pas par méchanceté : si une de ces cartes se fait voler, on veut qu'elle cesse de fonctionner toute seule au bout d'un moment, sans avoir à prévenir la Terre entière. La date de péremption est une fonctionnalité, pas un bug.

Deux champs seulement comptent le jour de la panne : le nom et la date. Le reste, c'est de la décoration mathématique.

Sauf qu'une carte d'identité, ça se renouvelle. Toi tu reçois un courrier de ta commune. Un serveur, lui, ne reçoit rien du tout. Il attend gentiment que quelqu'un s'en occupe, et le jour où personne ne s'en occupe, il arrête de croire tout le monde, y compris ses propres collègues.

Pourquoi 22 heures pour remplacer un fichier ?

C'est la vraie question, et c'est là que ça devient intéressant.

Remplacer le certificat prend cinq minutes. Le problème, c'est que celui-ci ne servait pas à parler aux clients. Il servait aux serveurs de Microsoft pour se reconnaître entre eux. Le courrier demande au service qui gère les mots de passe « est-ce que ce type est bien qui il prétend être ? », et ce service répond avec sa carte à la main.

Carte périmée, plus personne ne se reconnaît. Le courrier ne fait plus confiance au service des mots de passe, qui ne fait plus confiance au service de recherche, et ainsi de suite. Ça a commencé sur Exchange Online, la messagerie. Deux heures plus tard, Microsoft ouvrait un deuxième ticket, MO1465074, pour y ajouter Teams, SharePoint, OneDrive, Purview et Defender XDR. Même l'espace d'administration, celui où les administrateurs vont justement voir ce qui ne va pas, était inaccessible pour certaines entreprises.

Une seule carte périmée, et tout l'immeuble arrête de se croire sur parole.

Et une fois le certificat remis à jour, rien ne repart tout seul. Il a fallu redémarrer les machines une par une, vérifier service après service, et recommencer là où ça ne tenait pas. D'où les 22 heures. Le fichier n'était pas le travail. Le travail, c'était de rallumer la maison dans le bon ordre.

Ça n'arrive pas qu'à Microsoft, et j'ai une preuve amusante

Pendant que je préparais cet article, j'ai voulu ouvrir une page qui recense justement les grandes pannes causées par des certificats expirés. Vous savez, pour la perspective historique.

Le site m'a répondu, je cite : certificate has expired.

Je n'invente rien. La page qui liste les pannes de certificats périmés est tombée à cause d'un certificat périmé. J'ai relu trois fois pour être sûr, puis j'ai franchement rigolé tout seul devant mon écran !

Ce n'est pas un hasard, et c'est tout le sujet. Le 6 décembre 2018, un certificat expiré dans un logiciel d'Ericsson a privé 32 millions de Britanniques de téléphone et de 4G pendant une journée, et l'histoire a débordé sur onze pays, jusqu'au Japon. Les équipes ont passé la nuit dessus et n'ont rétabli le service qu'à 3 h 30 du matin.

Le meilleur, c'est que Microsoft connaît déjà la chanson. Le 3 février 2020, Teams était resté par terre plusieurs heures. Cause : un certificat d'authentification que personne n'avait renouvelé. Six ans et demi plus tard, rebelote, en plus gros.

Ce n'est jamais une faille compliquée, jamais un génie du piratage encapuchonné dans une cave. C'est une date dans un calendrier que personne n'a regardée.

Et chez toi, ça sert à quoi de savoir ça ?

Bien plus que tu ne le crois, parce que tu as probablement des certificats à la maison sans le savoir.

Ton NAS, ce petit boîtier à disques durs sur lequel tu ranges tes photos, en a un. Ta box internet en a un. Ta caméra de surveillance en a un. Si tu as un site perso, il en a un, et il se renouvelle normalement tout seul tous les trois mois. Le jour où ce renouvellement automatique se casse, tu ne reçois aucune alerte, tu ne le vois pas passer, et un beau matin ton navigateur affiche un gros écran rouge disant que ton propre site n'est pas sûr.

Le réflexe utile tient en une ligne. Quand ton téléphone ou ton navigateur t'affiche un avertissement de sécurité sur un site que tu connais par cœur, avant de paniquer ou de cliquer sur « continuer quand même », regarde la date. Neuf fois sur dix, ce n'est pas une attaque : c'est un certificat périmé chez eux. Et si c'est ton propre matériel, tu viens de gagner une demi-heure de recherche.

L'autre chose à emporter, c'est du confort mental. La prochaine fois que ton service en ligne tombe et que le message parle de « configuration d'authentification centrale », tu sauras qu'il y a de bonnes chances qu'il s'agisse d'un post-it que quelqu'un n'a pas collé au bon endroit. Ça ne répare rien, mais ça déculpabilise : ce n'est pas ton ordinateur qui déraille.

Ce que j'en pense

Je ne vais pas taper sur Microsoft pour le principe. Gérer des dizaines de milliers de certificats sur une infrastructure planétaire, c'est un vrai métier, et personne ne le fait parfaitement.

Ce qui me chiffonne, c'est autre chose. On nous vend du cloud depuis quinze ans avec l'argument que des professionnels s'occupent de tout mieux que nous. Et là, un des plus gros acteurs du monde tombe sur un oubli d'agenda. Le genre de truc que le premier administrateur venu surveille avec un script de dix lignes et une alerte trente jours avant l'échéance.

Alors si tu gères le moindre serveur, même un NAS dans ton salon, va vérifier tes dates aujourd'hui. Ça prend cinq minutes, et ça t'évitera d'apprendre l'existence de ce fichier le jour où il t'aura déjà coûté ta journée !

Sources

• Born's Tech and Windows World : EX1464935, M365 outage due to forgotten certificate renewal, 31 août 2026, le message d'erreur complet et l'empreinte du certificat
• BleepingComputer : Massive Microsoft 365 outage causes auth issues, service failures, la chronologie, les deux numéros d'incident, la liste des services touchés et la durée
• Techzine : Microsoft 365 outage disrupts Teams and Exchange access globally, la communication officielle de Microsoft et l'étendue mondiale de la panne
• The Register : Why millions of Brits' mobile phones were knackered on Thursday, 6 décembre 2018, les 32 millions d'abonnés, les onze pays et la nuit blanche jusqu'à 3 h 30