Base de Connaissances

Instructions pour réparer les erreurs de chaîne de certificats intermédiaires

À quoi ressemble une erreur de certificat intermédiaire?

Lorsque vous utilisez l’outil de diagnostic d’installation SSL DigiCert® pour vérifier l’installation de votre certificat SSL, vous pouvez recevoir l’une des erreurs de certificat intermédiaire suivantes:

• « Le serveur n’envoie pas tous les certificats intermédiaires requis. »

• « Votre serveur envoie trop de certificats intermédiaires. »

Heureusement, vous pouvez résoudre ces deux problèmes à l’aide de DigiCert® Certificate Utility for Windows.

Utilisation de DigiCert Certificate Utility pour corriger les erreurs de chaîne de certificats

1. Sur le serveur Windows où votre certificat SSL est installé, téléchargez et enregistrez l’exécutable DigiCert® Certificate Utility for Windows (DigiCertUtil.exe).

2. Exécutez DigiCert® Certificate Utility for Windows (double-cliquez sur DigiCertUtil).

   Attention: Cet utilitaire ne doit être exécuté que sur un serveur Windows. Son exécution sur un ordinateur Windows standard peut provoquer des erreurs de certificat SSL lors de la navigation.

3. Dans DigiCert Certificate Utility for Windows©, cliquez sur SSL (cadenas doré), sélectionnez le certificat que vous devez réparer, puis cliquez sur Repair Certificate.

   

4. Dans la fenêtre « Would you like to repair this certificate's chain window? », cliquez sur Yes pour réparer la chaîne du certificat.

   

5. Après avoir reçu le message « This certificate has been successfully repaired », cliquez sur OK.

   

6. Redémarrez le serveur ou forcez celui-ci à effacer la chaîne de certificats actuellement chargée en mémoire puis à la recharger.

   Remarque: Si, après avoir réparé votre certificat SSL et redémarré votre serveur, vous recevez toujours des erreurs de certificat intermédiaire, vous devrez peut-être forcer le serveur à effacer la chaîne de certificats actuellement en mémoire puis à la recharger.

   Consultez Reconfigurer le certificat pour votre site IIS ou votre domaine Exchange.
   
   

Reconfigurer le certificat pour votre site IIS ou votre domaine Exchange

Si, après avoir suivi les instructions applicables pour reconfigurer votre logiciel afin qu’il utilise le certificat et/ou après avoir redémarré votre serveur, vous rencontrez toujours des problèmes, consultez la section Dépannage des erreurs de certificat.

Pour les serveurs IIS 10

1. Ouvrez Internet Information Services (IIS) Manager.

   Dans le menu Démarrer de Windows, saisissez Internet Information Services (IIS) Manager puis ouvrez-le.

2. Dans Internet Information Services (IIS) Manager, dans l’arborescence Connections (panneau gauche), développez le nom de votre serveur, développez Sites, puis cliquez sur le site ou le domaine.

3. Dans le menu Actions (panneau droit), sous Edit Site, cliquez sur Bindings.

4. Dans la fenêtre Site Bindings, sélectionnez la liaison https du site ou du domaine puis cliquez sur Edit.

5. Dans la fenêtre Edit Site Binding, notez les paramètres suivants:

   • Type
   • IP address
   • Port
   • Host name (si vous utilisez Server Name Indication [SNI])
   • Require Server Name Indication (si vous utilisez Server Name Indication [SNI])
   • SSL certificate

6. Après avoir noté les informations, cliquez sur Cancel.

7. Dans la fenêtre Site Bindings, sélectionnez la liaison https du site ou du domaine puis cliquez sur Remove.

8. Dans la fenêtre Site Bindings, cliquez maintenant sur Add.

9. Dans la fenêtre Add Site Binding, sélectionnez https dans la liste déroulante Type.

10. Utilisez les informations relevées avant la suppression de la liaison pour renseigner à nouveau les champs de la fenêtre Add Site Binding.

11. Pour vérifier que le certificat est désormais correctement répertorié, saisissez le nom commun ou un SAN de votre certificat dans l’outil de diagnostic d’installation SSL DigiCert®.
    
    

Pour les serveurs IIS 8

1. Ouvrez Internet Information Services (IIS) Manager.

   Sur l’écran Start, saisissez puis cliquez sur Internet Information Services (IIS) Manager.

2. Dans Internet Information Services (IIS) Manager, sous Connections, développez le nom de votre serveur, développez Sites, puis cliquez sur le site ou le domaine.

3. Dans le menu Actions, sous Edit Site, cliquez sur Bindings.

4. Dans la fenêtre Site Bindings, sélectionnez la liaison https du site ou du domaine puis cliquez sur Edit.

5. Dans la fenêtre Edit Site Binding, notez les paramètres suivants:

   • Type

   • IP address

   • Port

   • Host name (si vous utilisez Server Name Indication)

   • Require Server Name Indication (si vous utilisez Server Name Indication)

   • SSL certificate

6. Après avoir noté les informations, cliquez sur Cancel.

7. Dans la fenêtre Site Bindings, sélectionnez la liaison https du site ou du domaine puis cliquez sur Remove.

8. Cliquez maintenant sur Add.

9. Dans la fenêtre Add Site Binding, sélectionnez https dans la liste déroulante Type.

10. Utilisez les informations relevées avant la suppression de la liaison pour renseigner à nouveau les champs de la fenêtre Add Site Binding.

11. Pour vérifier que le certificat est désormais correctement répertorié, saisissez le nom commun ou un SAN de votre certificat dans l’outil de diagnostic d’installation SSL DigiCert®.
    
    

Pour les serveurs IIS 7

1. Ouvrez Internet Information Services (IIS) Manager (Start > Administrative Tools > Internet Information Services Manager).

2. Dans Internet Information Services (IIS) Manager, sous Connections, développez le nom de votre serveur, développez Sites, puis sélectionnez le site ou le domaine.

3. Dans le menu Actions, sous Edit Site, cliquez sur Bindings.

4. Dans la fenêtre Site Bindings, sélectionnez la liaison https du site ou du domaine puis cliquez sur Edit.

5. Dans la fenêtre Edit Site Binding, notez les paramètres suivants:

   • Type

   • IP address

   • SSL Certificate

6. Après avoir noté les informations, cliquez sur Cancel.

7. Dans la fenêtre Site Bindings, sélectionnez la liaison https du site ou du domaine puis cliquez sur Remove.

8. Cliquez maintenant sur Add.

9. Dans la fenêtre Add Site Binding, sélectionnez https dans la liste déroulante Type.

10. Dans la fenêtre Add Site Binding, utilisez les informations relevées avant la suppression de la liaison pour renseigner à nouveau les champs.

11. Lorsque vous avez terminé, cliquez sur OK puis sur Close.

12. Pour vérifier que le certificat est désormais correctement répertorié, saisissez le nom commun ou un SAN de votre certificat dans l’outil de diagnostic d’installation SSL DigiCert®.
    
    

Pour les serveurs IIS 6

1. Ouvrez Internet Information Services (IIS) Manager.

   Dans le menu Start, cliquez sur Administrative Tools > Internet Information Services (IIS) Manager.

2. Dans Internet Information Services Manager, dans l’arborescence de navigation de gauche, développez le nom de votre serveur, développez Sites, puis faites un clic droit sur le site et sélectionnez Properties.

3. Dans la fenêtre Properties, sous l’onglet Directory Security, cliquez sur Server Certificate.

4. Cliquez sur Remove the Current Certificate, puis suivez l’assistant pour supprimer le certificat.

   Cela retire l’association du certificat avec votre site web, mais le certificat reste présent sur votre serveur.

5. Ensuite, dans la fenêtre Properties, sous l’onglet Directory Security, cliquez à nouveau sur Server Certificate, suivez l’assistant, choisissez Assign an Existing Certificate, puis resélectionnez le certificat que vous venez de retirer.

6. Pour vérifier que le certificat est désormais correctement répertorié, saisissez le nom commun ou un SAN de votre certificat dans l’outil de diagnostic d’installation SSL DigiCert®.
   
   

Pour les serveurs Exchange 2013

1. Ouvrez Exchange Admin Center (accédez à https://localhost/ecp).

2. Dans Exchange Admin Center, dans le menu de gauche, cliquez sur Servers, puis dans le menu en haut de la section Servers, cliquez sur Certificates.

3. Dans la section Certificates, sélectionnez le certificat puis cliquez sur l’icône Edit (crayon).

4. Sur la page Certificates, dans le menu de gauche, cliquez sur Services.

5. Dans la section Specify the services that you want to assign this certificate, notez les services (par ex. SMTP, IMAP, POP et IIS) activés pour votre certificat SSL. Décochez ensuite tous les services et cliquez sur save.

6. Cliquez ensuite de nouveau sur l’icône Edit (crayon) de la page Certificates, puis dans le menu de gauche sur Services.

7. Dans la section Specify the services that you want to assign this certificate, réactivez les services pour votre certificat SSL.

8. Pour vérifier que le certificat est désormais correctement répertorié, saisissez dans l’outil de diagnostic d’installation SSL DigiCert® le nom utilisé par les clients pour accéder à la messagerie.
   
   

Pour les serveurs Exchange 2010

1. Ouvrez Exchange Management Console (Microsoft Exchange 2010 > Exchange Management Console).

2. Dans Exchange Management Console, dans la section centrale, cliquez sur Manage Databases.

3. Dans l’arborescence de navigation de gauche, développez Microsoft Exchange On-Premises puis sélectionnez Server Configuration.

4. Dans la section centrale, sous Exchange Certificates, sélectionnez le certificat, puis dans le menu Actions à droite, cliquez sur Assign Services to Certificate.

5. Sélectionnez ensuite votre serveur dans la liste proposée puis cliquez sur Next.

6. Notez les services (par ex. SMTP, IMAP, POP et IIS) activés pour votre certificat SSL. Décochez ensuite tous les services et terminez l’assistant.

7. Cliquez ensuite à nouveau sur Assign Services to Certificate et réattribuez les services à votre certificat.

8. Pour vérifier si le problème est résolu, saisissez dans l’outil de diagnostic d’installation SSL DigiCert® le nom utilisé par les clients pour accéder à la messagerie.
   
   

Pour les serveurs Exchange 2007

1. Obtenir l’empreinte numérique de votre certificat

2. Exécutez DigiCert® Certificate Utility for Windows.

   Double-cliquez sur DigiCertUtil.

3. Dans DigiCert Certificate Utility for Windows©, cliquez sur SSL (cadenas doré), faites un clic droit sur votre certificat, puis cliquez sur Copy thumbprint to clipboard.

   Vous pouvez également obtenir l’empreinte numérique en exécutant la commande suivante dans Exchange Management Shell:

   [PS] C:\> Get-ExchangeCertificate -DomainName your.domain.name

4. Réattribuer les services

5. Ouvrez Exchange Management Shell (Microsoft Exchange Server 2007 > Exchange Management Shell).

6. Exécutez ensuite la commande suivante pour réactiver votre certificat SSL pour les services que vous sécurisez actuellement:

      Enable-ExchangeCertificate -ThumbPrint insert_thumbprint -Services "SMTP, IMAP, POP, IIS"

   Remarque: Si vous êtes invité à remplacer le certificat existant du [Service], saisissez « a » pour tous.

7. Pour vérifier la chaîne de certificats intermédiaires, saisissez votre nom de domaine (par ex. mail.domain.com) dans l’outil de diagnostic d’installation SSL DigiCert®.
   
   

Pour les serveurs ISA/TMG

1. D’après notre expérience, vous devez redémarrer votre serveur pour que les modifications prennent effet. Si vous trouvez une autre méthode permettant d’appliquer correctement les changements sur votre serveur ISA/TMG après avoir utilisé l’outil de diagnostic d’installation SSL DigiCert®, veuillez nous en informer.
    

Autres types de serveurs Microsoft (par ex. OCS, Lync)

1. Vous pourrez peut-être réactiver votre certificat en le désactivant puis en le réactivant, mais nous n’avons pas testé cette méthode. Merci de nous informer si cela résout le problème des certificats intermédiaires.
    

Dépannage des erreurs de certificat

1. Si les conseils de la section Reconfigurer le certificat pour votre site IIS ou votre domaine Exchange ne résolvent pas le problème, vous devez probablement redémarrer votre serveur.

2. Si le redémarrage du serveur ne résout pas le problème, il est très probable que le certificat SSL soit également installé sur un ou plusieurs autres serveurs ou appareils avec une chaîne de certificats incomplète. Vous devrez alors contacter le support pour obtenir de l’aide.

   Lorsque vous contactez le support, utilisez la fonctionnalité Check a Server de DigiCert Certificate Utility afin de leur indiquer les erreurs que vous recevez ainsi que la liste des certificats envoyés affichée par la fonctionnalité Query Server (par ex. 1. test.digicert.com, 2. DigiCert High Assurance CA-3), afin qu’ils puissent vous aider à résoudre rapidement ce problème.