# CRL

## Guide pratique

{% content-ref url="../../gestion-des-certificats/manage-certificates/enabling-crl" %}
[enabling-crl](https://docs.scepman.com/fr/gestion-des-certificats/manage-certificates/enabling-crl)
{% endcontent-ref %}

{% hint style="info" %}
Ces paramètres doivent uniquement être appliqués au service d'application SCEPman, et non au Certificate Master. Veuillez vous référer à [Paramètres SCEPman](https://docs.scepman.com/fr/configuration-scepman/application-settings).
{% endhint %}

Pour une comparaison générale des techniques de contrôle de la validité des certificats, consultez [notre article de blog](https://www.glueckkanja.com/blog/products/2023/05/certificate-revocation-en/).

## AppConfig:CRL:RequestToken

*Linux: AppConfig\_\_CRL\_\_RequestToken*

{% hint style="info" %}
Applicable à la version 2.3 et supérieures
{% endhint %}

**Valeur :** Une chaîne secrète personnalisée composée de caractères alphanumériques et de tirets

**Description :** Si vous définissez cette valeur sur autre chose qu'une chaîne vide, vous pouvez télécharger une liste de révocation de certificats (CRL) depuis SCEPman. L'URL de la CRL est <https://scepman.contoso.de/crl/{RequestToken}>, où scepman.contoso.de est le domaine de votre instance SCEPman et {RequestToken} est le jeton configuré ici.

La CRL ne contient actuellement pas tous les certificats révoqués. Ainsi, des attaquants possédant un certificat révoqué qui accèdent à la CRL pourraient tenter de convaincre une partie que leur certificat révoqué n'est en réalité pas révoqué, parce qu'il ne figure pas dans la liste. Par conséquent, vous devez traiter le RequestToken comme un secret et n'activer cette fonctionnalité que si nécessaire. Vous ne devriez utiliser la CRL que lorsqu'il est impossible d'utiliser le OCSP, qui est supérieur. Gardez à l'esprit que des équipements réseau comme des proxys peuvent consigner l'URL de la CRL.

## AppConfig:CRL:Source

*Linux: AppConfig\_\_CRL\_\_Source*

{% hint style="info" %}
Applicable à la version 2.4 et supérieures
{% endhint %}

**Valeur :** *Aucun* (par défaut) ou *Stockage*

**Description :** Si vous définissez cette valeur sur *Aucun*, la CRL générée ne contiendra aucun certificat révoqué. Si vous définissez cette valeur sur *Stockage*, la CRL contiendra tous les certificats révoqués manuellement qui sont stockés dans Azure Storage.

Les certificats révoqués automatiquement via OCSP ne seront pas inclus dans la CRL. Par exemple, si vous désactivez un appareil, le certificat de l'appareil sera automatiquement révoqué via OCSP. Cependant, le certificat ne sera pas inclus dans la CRL.

## AppConfig:CRL:AddCdp

*Linux: AppConfig\_\_CRL\_\_AddCdp*

{% hint style="info" %}
Applicable à la version 2.10 et supérieures
{% endhint %}

**Valeur :** *false* (par défaut) ou *true*

**Description :** Si vous définissez cette valeur sur *true*, SCEPman ajoute une extension CRL Distribution Point (CDP) aux certificats émis, qui contient l'URL depuis laquelle télécharger la CRL actuelle de SCEPman.

## AppConfig:CRL:ValidityDays

*Linux: AppConfig\_\_CRL\_\_ValidityDays*

**Valeur :** *Nombre à virgule flottante*

**Description :** Le nombre de jours pendant lesquels une CRL émise est valide. Si rien n'est configuré, les CRL seront valides pendant **0,1 jour** = 2,4 heures (SCEPman 2.4 et versions ultérieures) ou **30 jours** (SCEPman 2.3).
