Base de Connaissances

Contexte

Tous les certificats SSL DigiCert® émis avec une date d’expiration postérieure à janvier 2011 sont émis à partir d’une chaîne de certificats de 2048 bits. Le certificat racine de cette chaîne est intitulé DigiCert High-Assurance EV Root CA et est déjà approuvé par tous les navigateurs modernes.

Windows détermine automatiquement quels certificats intermédiaires envoyer aux clients en fonction des certificats racine qu’il trouve dans son magasin de certificats des autorités de certification racines. Lorsqu’un certificat racine DigiCert High-Assurance EV Root CA est présent dans ce magasin, Windows n’inclut pas le certificat contre-signé.

Pour confirmer que vous rencontrez ce problème, utilisez notre outil en ligne SSL Certificate Tester, qui fonctionne sur tous les sites accessibles publiquement. Cet outil vous indiquera si votre serveur envoie les certificats intermédiaires appropriés aux clients.

La méthode la plus rapide pour résoudre ce problème consiste à utiliser notre utilitaire SSL DigiCert pour Windows. Toutefois, vous pouvez également suivre les étapes ci-dessous.

Désactivation du certificat racine sur votre serveur

La désactivation du certificat racine DigiCert High-Assurance EV Root CA dans le magasin des certificats des autorités de certification racines de votre serveur permet à Windows de créer une chaîne correcte de certificats intermédiaires à transmettre aux clients.

La correction de ce problème comporte deux tâches:

1. Vérifier la présence du certificat DigiCert High-Assurance EV Root CA dans le magasin des certificats des autorités de certification racines du serveur et le désactiver si nécessaire.
2. Vérifier que le magasin de certificats intermédiaires du serveur contient les fichiers de certificats intermédiaires requis et les installer si nécessaire.

Remarque: dans certaines situations, la désactivation du certificat DigiCert High-Assurance EV Root CA telle que décrite ci-dessous peut ne pas empêcher votre serveur d’utiliser le certificat problématique. Dans ces cas, il est nécessaire de supprimer le certificat DigiCert High-Assurance EV Root CA. Si vous envisagez cette solution, notez que, dans de rares cas, la suppression du certificat racine peut nuire à la stabilité du serveur.

Désactivation du certificat DigiCert High-Assurance EV Root CA

Si le certificat DigiCert High-Assurance EV Root CA est présent dans le magasin des certificats racines approuvés, il doit être désactivé.

Généralement, c’est la seule étape à effectuer. Toutefois, il reste conseillé de vérifier que les fichiers de certificats intermédiaires appropriés sont bien installés.

Pour vérifier la présence du certificat racine approuvé:

1. Dans le menu Démarrer, cliquez sur Exécuter, puis saisissez mmc.

2. Cliquez sur Fichier (File) > Ajouter/Supprimer un composant logiciel enfichable (Add/Remove Snap-in).

   

3. Cliquez sur Certificats (Certificates) > Ajouter (Add), puis fermez la fenêtre Ajouter un composant logiciel enfichable autonome. Cliquez sur OK.

   

   

4. Sélectionnez Compte d’ordinateur, puis cliquez sur Suivant. Sélectionnez Ordinateur local, puis cliquez sur Terminer. Fermez ensuite la fenêtre Ajouter un composant logiciel enfichable autonome ainsi que la fenêtre Ajouter/Supprimer un composant logiciel enfichable.
5. Cliquez sur le symbole + pour développer l’arborescence de la console Certificats (ordinateur local) et recherchez le dossier Personnel. Développez le dossier Certificats.
6. Recherchez le dossier Autorités de certification racines de confiance et développez le dossier Certificats.

7. Recherchez le certificat émis à et par DigiCert High-Assurance EV Root CA avec une date d’expiration au 09/11/2031.

   

8. Double-cliquez sur ce certificat et accédez à l’onglet Détails.

9. Cliquez sur Modifier les propriétés, puis sélectionnez Désactiver tous les usages de ce certificat dans le champ Usages du certificat.

10. Cliquez sur OK. Il peut être nécessaire de redémarrer votre serveur pour que cette modification prenne effet.

Vérification du magasin de certificats intermédiaires

Cette étape aurait dû être effectuée lors de l’installation de votre ou de vos certificats DigiCert. Toutefois, il est recommandé de vérifier que les fichiers de certificats intermédiaires appropriés sont bien installés.

1. Dans le composant logiciel enfichable Certificats MMC, ouvrez le dossier Autorités de certification intermédiaires.

2. Dans le dossier Certificats, recherchez le fichier DigiCert High-Assurance EV Root CA.

   Pour les certificats SSL standard (SSL Plus, Wildcard, SSL multidomaine), recherchez également le fichier DigiCert High-Assurance CA-3. Pour les certificats SSL EV, recherchez le fichier DigiCert High-Assurance EV CA-1.

3. Si vous trouvez ces fichiers, vous n’avez pas besoin de poursuivre les étapes suivantes. Si vous ne les trouvez pas, téléchargez-les à partir de notre site via les liens ci-dessous.

   Certificats SSL Plus/Wildcard/SSL multidomaine: DigiCert High-Assurance EV Root CA: DigiCert High-Assurance CA-3
   Certificats EV: DigiCert High-Assurance EV Root CA: DigiCert High-Assurance EV CA-1

4. Une fois téléchargés, double-cliquez sur le fichier et cliquez sur Ouvrir > Installer le certificat.

5. Dans l’Assistant Importation de certificat, cliquez sur Suivant.

6. Sélectionnez Placer tous les certificats dans le magasin suivant, puis cliquez sur Parcourir.

7. Sélectionnez Afficher les magasins physiques, puis installez les certificats dans le dossier Ordinateur local sous Autorités de certification intermédiaires.

8. Terminez l’Assistant Importation de certificat. Un message doit confirmer que l’importation a réussi.

   Votre certificat est maintenant installé. Vous pouvez utiliser notre outil en ligne SSL Certificate Tester pour vérifier l’installation de votre certificat.