Base de Connaissances

En raison de l’application récente par Gmail d’exigences strictes en matière de sécurité SSL, il est possible que vous ayez reçu un message d’erreur similaire au suivant lorsque vous avez tenté d’accéder à une messagerie tierce via Gmail:

"SSL error: Unable to verify the first certificate."

Remarque: Vous pouvez également recevoir une erreur de protocole ou une erreur ‘SSL Certificate expired’.

Contexte

Depuis décembre 2012, les serveurs Gmail de Google sont configurés pour ne pas se connecter aux serveurs POP3 distants qui ne disposent d’aucun certificat ou qui utilisent un certificat auto-signé. Gmail vérifie également que le serveur distant du fournisseur de messagerie tiers dispose d’un certificat SSL valide. Par défaut, Gmail utilise désormais toujours une connexion sécurisée (SSL) lors de la récupération des e-mails.

Lorsque vous connectez Gmail à des fournisseurs de messagerie tiers, le serveur du fournisseur doit disposer d’un certificat SSL valide émis par une autorité de certification (CA) de confiance et installé sur le port SSL POP3 (par défaut: 995, voir ci-dessous). Si aucun certificat n’est installé ou si un problème survient, vous risquez de ne pas pouvoir accéder à votre compte de messagerie tiers ni à vos messages.

Que puis-je faire?

• Si vous êtes l’administrateur du serveur de messagerie ou si vous avez accès au serveur de messagerie, vous pouvez diagnostiquer et résoudre cette erreur en suivant les étapes ci-dessous.
• Si vous n’avez pas accès à votre serveur de messagerie, nous vous recommandons de contacter l’administrateur de votre système de messagerie et de lui demander de résoudre le problème sur le serveur.

L’erreur ci-dessus est due à l’absence d’un certificat SSL publiquement approuvé sur le serveur de messagerie.

Voici quelques causes possibles de ce problème:

1. Le serveur de messagerie ne dispose d’aucun certificat ou utilise un certificat auto-signé sur le port SSL POP3. Cela peut avoir deux causes:
   
   

   1. Aucun certificat SSL publiquement approuvé n’est installé sur le serveur. Si tel est le cas, vous devez en acheter et en installer un auprès d’une CA de confiance telle que DigiCert®.

   2. Le serveur dispose d’un certificat publiquement approuvé, mais celui-ci n’a jamais été installé sur le port SSL POP3.
       
2. Un certificat SSL publiquement approuvé est installé sur le port SSL POP3 du serveur de messagerie, mais des problèmes liés aux certificats intermédiaires sont présents.
   Ces problèmes empêchent Gmail d’accéder au certificat racine.

Étapes de dépannage

1. À l’aide de DigiCert SSL Certificate Tester, testez la chaîne de certificats de votre serveur. Pour vérifier la chaîne de certificats du port SSL POP3, saisissez yourdomain:995. (Le port par défaut pour POP3 SSL est 995. Si vous n’utilisez pas le port par défaut, veillez à le remplacer par le port que vous utilisez pour POP3 SSL.)

2. Si la chaîne de certificats s’affiche, passez à l’étape 3. Si vous recevez une erreur, passez directement à l’étape 4.

3. La chaîne de certificats peut présenter plusieurs problèmes:
   
   

   • Votre chaîne contient un certificat auto-signé. Si tel est le cas, vous devez le remplacer par un certificat publiquement approuvé. Si vous disposez déjà d’un certificat publiquement approuvé sur le serveur, il vous suffit de l’installer sur le port SSL POP3 par défaut. Si vous ne disposez pas d’un certificat publiquement approuvé, achetez un certificat SSL auprès d’une CA de confiance telle que DigiCert.

   • Votre chaîne comporte une rupture. Si tel est le cas, il manque probablement un ou plusieurs certificats intermédiaires sur votre serveur. Gmail ne peut alors pas approuver votre certificat, car il ne peut pas accéder au certificat racine situé à la fin de la chaîne. Le certificat racine est celui qui valide l’identité de votre certificat SSL. Pour résoudre ce problème, vous devez installer vos certificats intermédiaires sur votre serveur.
4. Si vous recevez une erreur, plusieurs problèmes peuvent en être la cause:
   
   

   • Aucun certificat SSL publiquement approuvé n’est installé sur le port SSL POP3. Si vous disposez déjà d’un certificat publiquement approuvé sur le serveur, il vous suffit de l’installer sur le port SSL POP3 par défaut. Notez que le certificat installé sur ce port ne peut pas être auto-signé.

   • Si un certificat publiquement approuvé est installé sur le port SSL POP3, vérifiez que le certificat intermédiaire est installé. Si vous pensez rencontrer des problèmes liés aux certificats intermédiaires, assurez-vous que vos certificats intermédiaires sont installés sur votre serveur. Consultez l’étape 3b ci-dessus pour plus d’informations sur les problèmes liés aux certificats intermédiaires.

Remarque: D’autres sources suggèrent actuellement de décocher l’option Always use a secure connection (SSL) when retrieving mail dans l’onglet Accounts and Import du menu des paramètres Gmail afin de résoudre ce problème. Si vous décochez cette case, toutes les informations transmises entre votre ordinateur et le serveur de messagerie, notamment votre nom d’utilisateur et votre mot de passe, risquent de ne plus être sécurisées, ce qui vous expose à une attaque de l’homme du milieu.

Si vous avez des questions, veuillez contacter le support DigiCert.