SSL cassé /TLS les chaînes de certificats provenant d'intermédiaires manquants peuvent provoquer des erreurs de confiance. Apprenez à les diagnostiquer et à les corriger en installant une chaîne complète.
Erreurs d'approbation du navigateur
Si vous avez installé un nouveau SSL /TLS certificat sur votre serveur Web, mais les visiteurs rencontrent des erreurs de confiance du navigateur telles que Not Secure, Your Connection Is Not Private, veuillez vous assurer qu'une chaîne de certificats intermédiaire complète a été installée. Dans Google Chrome, un message d'erreur courant de ce type est NET::ERR_CERT_AUTHORITY_INVALID.
Toutes les erreurs de navigateur suivantes résultent de l'installation d'un certificat valide, mais avec une chaîne rompue causée par des intermédiaires manquants :
Not Secure avertissement de confiance
NET::ERR_CERT_AUTHORITY_INVALID avertissement de confiance dans la fenêtre du navigateur Chrome.
This Connection Is Not Private.
Pour plus d'exemples de messages d'erreur de navigateur* résultant de certificats intermédiaires manquants, veuillez vous référer à notre guide sur Dépannage de SSL /TLS Erreurs et avertissements du navigateur.
De plus, Firefox met en cache les certificats intermédiaires dans son propre magasin de certificats ; si vous avez déjà visité un site Web qui incluait des intermédiaires manquants sur votre serveur, Firefox les utilisera pour effectuer une vérification complète. chaîne de certificats si nécessaire. Ce comportement amélioré signifie que les utilisateurs de Firefox rencontrent moins d'erreurs de chaîne de certificats par rapport aux autres navigateurs.
*Les messages d'erreur et les interfaces de navigateur affichés peuvent varier légèrement selon les versions de navigateur et les systèmes d'exploitation. Les symptômes fondamentaux d'un certificat intermédiaire manquant restent les mêmes sur toutes les plateformes.
Diagnostiquer le problème
Outils et méthodes de diagnostic
Vous pouvez vérifier les certificats intermédiaires manquants à l’aide de plusieurs méthodes :
- Vérificateurs SSL en ligne
- Vérificateur SSL de SSL Shopper reste un excellent outil pour identifier les intermédiaires manquants. La capture d'écran ci-dessous illustre la situation à l'origine des erreurs mentionnées ci-dessus. Les outils de vérification SSL modernes fournissent une analyse complète, incluant l'exhaustivité de la chaîne, les dates d'expiration, la validation de l'utilisation étendue des clés et la compatibilité avec les exigences actuelles des navigateurs.
- Les outils de test SSL modernes vérifient également les dates d’expiration à venir et les problèmes d’utilisation étendue des clés.
Outils de développement de navigateur
La plupart des navigateurs proposent désormais des fonctionnalités avancées d'inspection des certificats via leurs consoles de développement. Dans Chrome, Firefox et Safari, vous pouvez accéder à des informations détaillées sur la chaîne de certificats :
- Cliquer sur l'icône de verrouillage dans la barre d'adresse
- Sélection de « Certificat » ou « La connexion est sécurisée »
- Affichage de la chaîne de certificats complète et des détails de validité
Outils de ligne de commande
Pour les administrateurs de serveur, OpenSSL fournit une analyse complète de la chaîne de certificats :
openssl s_client -connect example.com:443 -showcerts
openssl s_client -connect example.com:443 -showcerts
Comprendre les changements de validité des certificats
Le SSL /TLS Le paysage des certificats a considérablement évolué ces dernières années, avec des changements importants affectant la durée de vie et l'utilisation des certificats :
Durée de vie des certificats réduite
Depuis septembre 2020, les principaux navigateurs ne font plus confiance à SSL/TLS Certificats dont la validité est supérieure à 398 jours (environ un an). Le CA/Browser Forum a adopté un calendrier échelonné (Bulletin de vote SC-081v3) pour réduire le maximum TLS durée de vie des certificats : 200 jours pour les certificats délivrés à compter du 15 mars 2026, 100 jours le/après le 15 mars 2027, et 47 jours le/après le 15 mars 2029.
Ces changements nécessitent la mise en œuvre de systèmes robustes de gestion et d’automatisation des certificats.
Restrictions d'utilisation des clés étendues
Politique du programme Chrome Root exige que, à partir du début Le 15 juin 2026, nouvellement émis confiance du public TLS certificats de serveur comprennent uniquement le serveurAuth EKU (non clientAuth).
Les principales autorités compétentes s'alignent avant cette date. Si vous en avez besoin, TLS authentification client, utilisation séparé Certificats d'authentification client issus d'une hiérarchie privée ou dédiée. Les organisations utilisant des certificats à ces deux fins auront besoin de certificats distincts pour chaque fonction.
Résoudre le problème
Lorsque vous téléchargez votre certificat à partir de votre compte d'utilisateur SSL.com en utilisant le lien de votre plate-forme serveur, vous recevez un fichier compressé qui comprend à la fois le certificat et tous les fichiers de prise en charge nécessaires. Si vous souhaitez uniquement télécharger les certificats intermédiaires, vous pouvez également utiliser le Bundle CA lien de téléchargement.
L'installation des intermédiaires varie selon la plate-forme du serveur. Pour des instructions spécifiques sur la façon d'installer les certificats intermédiaires requis sur votre serveur et de créer une chaîne complète, veuillez consulter notre documentation d'installation de certificat.
Impact sur l'installation
Lorsque vous téléchargez des certificats depuis votre compte SSL.com, assurez-vous d'utiliser les certificats intermédiaires les plus récents. Le lien de téléchargement du pack CA dans votre compte vous fournira toujours les certificats intermédiaires corrects et à jour pour votre installation.
Meilleures pratiques d'installation modernes
L’automatisation est essentielle : Avec la diminution de la durée de vie des certificats, leur gestion manuelle devient de plus en plus difficile. Envisagez de mettre en œuvre :
- Systèmes automatisés de renouvellement de certificats (Protocole ACME clients)
- Cycle de vie du certificat d'outils de gestion
- Systèmes de surveillance cette alerte avant l'expiration du certificat
Considérations relatives à la plateforme :
- De nombreux hébergeurs et CDN gèrent désormais automatiquement l'installation de certificats intermédiaires
- Les plateformes cloud fournissent souvent des services intégrés de gestion des certificats
- Pour les installations sur site, assurez-vous que votre processus de renouvellement inclut les mises à jour intermédiaires des certificats
Étapes de vérification – Vérifiez toujours votre chaîne de certificats complète après l’installation :
- Testez à partir de plusieurs navigateurs et appareils
- Utilisez les outils de vérification SSL pour confirmer l'exhaustivité de la chaîne
- Vérifiez que les périodes de validité des certificats correspondent à votre calendrier de renouvellement
- Vérifiez que les certificats contiennent uniquement des valeurs d'utilisation de clé étendue appropriées
Confirmez le correctif
Avec tous les certificats de prise en charge installés sur le même serveur qui a généré les erreurs «non fiables» indiquées ci-dessus, Vérificateur SSL affiche une chaîne complète et les erreurs d'approbation du navigateur ont disparu:
Pérenniser votre gestion des certificats
Préparez-vous à des cycles de vie plus courts
- Mettre en œuvre des systèmes automatisés de gestion des certificats avant l'entrée en vigueur de la période de validité de 47 jours en 2029
- Établir une surveillance et une alerte en cas d'expiration du certificat
- Envisagez d'utiliser des autorités de certification compatibles ACME pour une automatisation transparente
Types d'authentification distincts
- Prévoyez de séparer les certificats d'authentification du serveur et d'authentification du client
- Examiner l'utilisation actuelle des certificats pour identifier les certificats à usage mixte
- Mettre en œuvre des mesures dédiées PKI hiérarchies pour différents objectifs de certificat
Surveillance et entretien
- Audits réguliers des inventaires de certificats sur votre infrastructure
- Test automatisé de l'exhaustivité de la chaîne de certificats
- Documentation des dépendances des certificats et des procédures de renouvellement
La tendance vers des durées de vie des certificats plus courtes et des exigences d’utilisation plus strictes souligne l’importance cruciale d’une installation appropriée des certificats intermédiaires et d’une gestion complète du cycle de vie des certificats.
L'installation correcte d'un certificat intermédiaire reste fondamentale pour SSL/TLS sécurité ; cependant, le paysage continue d'évoluer avec des durées de vie des certificats plus courtes et des exigences de navigateur plus strictes.
En suivant les meilleures pratiques actuelles, en mettant en œuvre une automatisation appropriée et en restant informé des changements du secteur, vous pouvez garantir que vos certificats offrent une sécurité fiable à vos utilisateurs.
Pour obtenir les instructions d'installation de certificats les plus récentes et les lots de certificats intermédiaires, reportez-vous toujours à la documentation et aux liens de téléchargement de votre compte SSL.com, car ils sont régulièrement mis à jour pour refléter les dernières exigences et les modifications de l'autorité de certification.
Besoin d'aide? L'équipe d'assistance de SSL.com se tient informée de l'évolution du secteur et peut vous aider à installer vos certificats, à configurer votre chaîne et à vous préparer aux exigences à venir. Contactez-nous à l'adresse suivante : Support@SSL.com ou utilisez la fonction de chat en bas à droite de cette page.
