Base de Connaissances

Description

Le 8 mars 2023 à 10h00 MST (17h00 UTC), DigiCert a mis à jour l'émission publique par défaut du certificat TLS/SSL vers nos hiérarchies de certificats racine publique de deuxième génération (G2) et d'autorité de certification intermédiaire (ICA).

Pourquoi DigiCert va-t-il commencer à émettre des certificats TLS/SSL publics à partir de hiérarchies de certificats d'autorité de certification racine et intermédiaire G2?

En 2025, Mozilla commencera à ne plus faire confiance aux anciens certificats racine DigiCert. Aux dates indiquées dans le tableau ci-dessous relatif à la perte de confiance des certificats Mozilla, Mozilla cessera également de faire confiance à vos certificats d'entité finale actifs: d'abord les certificats TLS/SSL, puis les certificats S/MIME.

DigiCert a planifié la migration vers les hiérarchies de certificats racine G2 afin de garantir que vos certificats existants ne soient pas affectés par la politique de non-confiance de Mozilla. Vos certificats TLS/SSL actifs, émis à partir de la hiérarchie G1, resteront fiables jusqu'à leur expiration.

méfiance envers les certificats et dates

Marques DigiCert concernées

8 mars 2023, ICA/Remplacements de racines

À quoi servent les certificats racine et ICA?

Certificats racine

Les certificats racine sont la pierre angulaire de la confiance dans les certificats publics. Les autorités de certification (AC) collaborent avec les systèmes d'exploitation, les navigateurs et d'autres applications pour que leurs certificats racine soient inclus dans les magasins de certificats de confiance, garantissant ainsi la fiabilité de vos certificats publics.

Les autorités de certification utilisent des certificats racine publics pour émettre des certificats d'autorité de certification intermédiaires. Elles n'utilisent pas de certificats racine pour émettre vos certificats TLS publics.

certificats ICA

Les autorités de certification utilisent les certificats ICA pour émettre des certificats TLS et autres certificats numériques. Le certificat ICA relie également votre certificat TLS au certificat racine dans un magasin de certificats de confiance, permettant ainsi aux navigateurs et autres applications de lui faire confiance.

Pour plus d'informations sur les chaînes de certificats et leur fonctionnement, consultez la section « Fonctionnement des chaînes de certificats ».

Quel impact le changement de certificat racine et de certificat ICA a-t-il sur moi?

Passer à une hiérarchie de certificats différente ne nécessite généralement pas de travail supplémentaire, à condition d'installer systématiquement le certificat ICA fourni par DigiCert lors de l'installation de votre certificat TLS.

Suite à la modification des hiérarchies de certificats G2, aucune action n'est requise sauf si vous effectuez l'une des actions suivantes:

• Certificats ICA/racine
• Intégrer en dur l'acceptation des certificats ICA/racine
• Exploiter un magasin de fiducie

Si vous effectuez l'une des actions ci-dessus, nous vous recommandons de mettre à jour votre environnement avant le 8 mars 2023. Cessez d'épingler ou de coder en dur l'acceptation des certificats racine ou ICA ou apportez les modifications nécessaires pour garantir que les certificats émis à partir de la hiérarchie de certificats G2 sont fiables (en d'autres termes, ils peuvent être chaînés jusqu'à leur certificat racine G2 de confiance).

Que se passe-t-il si je ne veux pas arrêter d'épingler ou de coder en dur la confiance du certificat?

DigiCert remplacera à terme les hiérarchies de certificats racine et ICA G2 par nos nouvelles hiérarchies de certificats racine et ICA G5 à usage unique.

Nous vous recommandons d'utiliser directement les nouvelles hiérarchies de certificats racine G5 et ICA dédiées de DigiCert pour l'émission de vos certificats TLS/SSL. Vous pourrez ainsi émettre des certificats à partir d'un certificat ICA G5. Les certificats racines G5 étant moins répandus que nos anciens certificats racines, vous devez ajouter un quatrième certificat à votre chaîne de certificats: un certificat racine à signature croisée, afin de garantir la fiabilité de vos certificats. Toutefois, cette configuration de votre environnement ne sera nécessaire qu'une seule fois.

Consultez notre article de la base de connaissances sur la mise à jour des certificats d'autorité de certification racine et intermédiaire DigiCert G5 pour plus d'informations.

Quel est l'impact du changement de certificat racine et de certificat ICA sur mes certificats existants?

Le passage aux certificats racine G2 et aux certificats ICA n'affecte pas vos certificats existants. DigiCert a planifié cette transition vers les hiérarchies de certificats racine G2 afin de garantir que vos certificats existants ne soient pas affectés par la politique de non-confiance de Mozilla. Les certificats TLS/SSL actifs émis à partir d'une hiérarchie G1 resteront fiables jusqu'à leur expiration.

Toutefois, les certificats nouvellement émis, renouvelés, réémis et les duplicatas émis après le 8 mars 2023 seront rattachés à la hiérarchie racine G2. Lors de l'installation de vos certificats, veillez à inclure le certificat ICA fourni par DigiCert.

Meilleure pratique: Installez le certificat ICA fourni par DigiCert.

Lors de l'installation d'un certificat, il est impératif d'inclure le certificat ICA fourni par DigiCert. DigiCert recommande systématiquement cette bonne pratique afin de garantir que votre certificat puisse être lié à son certificat racine et qu'il soit digne de confiance.

Et si j'ai besoin de plus de temps pour mettre à jour mon environnement?

Si vous avez besoin de plus de temps pour vous préparer, envisagez d'utiliser le certificat d'autorité de certification racine à signature croisée, qui permet à vos certificats d'entité finale de se chaîner jusqu'à la racine G1.

Si cette solution de signature croisée ne fonctionne pas, veuillez contacter l'assistance DigiCert. Nous pouvons configurer votre compte afin que vous puissiez continuer à utiliser vos certificats racine et ICA de première génération.

Pour déterminer la durée de conservation de votre certificat racine actuel, n'oubliez pas que la désapprobation du certificat racine Mozilla/Chrome concerne également le certificat ICA et les certificats TLS/SSL liés à la racine G1. Pour que le certificat racine reste fiable, tous les certificats actifs, y compris les réémissions et les doublons, doivent être réémis à partir d'une hiérarchie de certificats racines G2 ou plus récente avant que le certificat racine ne soit considéré comme non fiable.

Installez le certificat d'autorité de certification racine à signature croisée DigiCert G2

1. Téléchargez le certificat d'autorité de certification racine à signature croisée.

   DigiCert Global Root G2

   fichier PEM Fichier CRT/DER

2. Utilisez votre éditeur de texte (tel que Notepad ou TextEdit) pour ouvrir le fichier d'autorité de certification racine à signature croisée et copiez tout son contenu.
3. Utilisez votre éditeur de texte pour ouvrir le fichier G1 Intermediate CA et collez le contenu du fichier Root CA signé à la fin du fichier G1 Intermediate CA.
4. Enregistrez votre fichier CA intermédiaire G1 mis à jour.
   
   
   
5. Vous êtes maintenant prêt à installer votre certificat TLS sur votre serveur, et votre certificat devrait être considéré comme fiable s'il ne trouve pas sa racine G1 dans un magasin de certificats de confiance requis