Comme une autorité de certification peut émettre plusieurs certificats sous la forme d'une structure arborescente, les certificats CA intermédiaires émis par une autorité de certification dite subordonnée sont parfois essentiels pour maintenir la « chaîne de confiance ». Il garantit que la vérification d'identité via le certificat de clé publique peut être effectuée et approuvée correctement, en particulier lors de l'établissement d'une connexion sécurisée via Transport Layer Security (TLS) et/ou Secure Sockets Layer (SSL). Sinon, vous pourriez recevoir un avertissement indiquant que le certificat est signé par une "autorité non approuvée".
Essentiellement, le certificat de l'autorité de certification racine est utilisé pour signer et émettre un certificat qui, à son tour, est utilisé pour signer et émettre des certificats numériques d'entité finale ou de domaine pour les particuliers et les entreprises. Chaque certificat numérique peut avoir zéro ou plusieurs chaînes de certificats CA qui remontent jusqu'au certificat CA racine.
Ainsi, vous devez installer les certificats CA intermédiaires pour que les navigateurs fassent confiance à votre certificat, si votre autorité de signature de certificat inclut un certificat CA intermédiaire ou un bundle (chaîne de confiance). En fait, la plupart des autorités de certification populaires utilisent des certificats d'autorité de certification intermédiaires.
Comment obtenir le certificat CA intermédiaire
Selon l'autorité de certification, certaines autorités de certification peuvent vous envoyer par e-mail un fichier de bundles de certificats contenant les certificats d'autorité de certification intermédiaires, ou vous pouvez télécharger le certificat d'autorité de certification intermédiaire requis à partir du référentiel des autorités de certification. Certains des référentiels de téléchargement courants des autorités de certification sont :
Comodo :https://support.comodo.com/index.php?/Default/Knowledgebase/Article/View/620/1/which-is-root-which-is-intermediate
GlobalSign :https://support.globalsign.com/customer/portal/topics/538410-root-certificates/articles
Symantec Verisign :https://knowledge.verisign.com/support/ssl-certificates-support/index?page=content&id=AR657
GoDaddy :https://certs.godaddy.com/repository
DigiCert :https://www.digicert.com/digicert-root-certificates.htm
StartCom StartSSL :https://www.startssl.com/certs/
TrustWave :https://ssl.trustwave.com/support/support-root-download.php
Comment installer un certificat CA intermédiaire (certificat de chaîne)
- Copiez le certificat CA intermédiaire au format PEM (un certificat DER encodé en base64 identifiable avec un texte non significatif entre "—–BEGIN CERTIFICATE—–" et "—–END CERTIFICATE—–") sur le serveur, et placez-le dans le même répertoire que le certificat SSL et les fichiers de clé privée. Par exemple, le répertoire /home/techjourney/ssl/cert.
- Recherchez les directives SSL suivantes dans httpd.conf ou ssl.conf ou fichier de configuration Apache qui déclare les paramètres SSL. Notez que si vous utilisez un hôte virtuel basé sur le nom via la directive NameVirtualHost, vous devez localiser le segment <:VirtualHost> correspondant qui définit le site Web de votre domaine et y modifier les directives SSL (merci pour Server Name Indication (SNI), maintenant vous pouvez héberger plusieurs sites Web sécurisés SSL sur une seule adresse IP, car SNI permet au client d'indiquer à quel nom d'hôte il tente de se connecter au début du processus d'établissement de liaison).
Selon les versions de votre Apache, définissez les valeurs de ces directives SSL sur le chemin absolu et le nom de fichier des différents certificats SSL. Si vous avez déjà configuré SSL, vous n'avez qu'à vous préoccuper de SSLCertificateChainFile ou SSLCACertificatePath pour installer les certificats CA intermédiaires.
Dans Apache version 2.4.7 ou antérieure (<=2.4.7) :
SSLCertificateFile Chemin d'accès au certificat SSL, par ex. /home/techjourney/ssl.cert SSLCertificateKeyFile Chemin d'accès au fichier de clé privée, par ex. /home/techjourney/ssl.key SSLCertificateChainFile Chemin d'accès au certificat CA intermédiaire ou au bundle, par ex. /home/techjourney/ca.bundle.pem Dans Apache version 2.4.8 ou ultérieure (>= 2.4.8) :
RemarqueSSLCertificateChainFile est obsolète depuis Apache 2.4.8. Dans Apache 2.4.8, SSLCertificateFile a été étendu pour charger également les certificats CA intermédiaires à partir du fichier de certificat du serveur. Cela signifie que si l'autorité de certification signataire vous fournit le certificat d'entité finale ou de domaine qui inclut également les certificats CA intermédiaires, vous pouvez omettre SSLCACertificatePath.SSLCertificateFile Chemin d'accès au certificat SSL, par ex. /home/techjourney/ssl.cert SSLCertificateKeyFile Chemin d'accès au fichier de clé privée, par ex. /home/techjourney/ssl.key SSLCACertificatePath Chemin d'accès au certificat CA intermédiaire ou au bundle, par ex. /home/techjourney/ca.bundle.pem - Enregistrez le fichier de configuration Apache.
- Redémarrer Apache :
service httpd restart
Ou,
service apache2 restart
Ou,
systemctl httpd restart
Ou,
systemctl apache2 restart
- Virtualmin :sélectionnez le serveur virtuel (site Web ou domaine) si vous devez installer les certificats CA intermédiaires. Ensuite, allez dans Configuration du serveur -> Gérer le certificat SSL -> Certificat CA . Sélectionnez l'un des moyens de fournir les certificats de l'autorité de certification, c'est-à-dire dans un fichier sur le serveur si vous avez déjà téléchargé les certificats de l'autorité de certification sur l'hôte, fichier téléchargé ou texte du certificat collé . Cliquez sur Enregistrer le certificat une fois terminé, et les certificats de l'autorité de certification seront chargés via la directive SSLCACertificatePath.
Vous pouvez également modifier manuellement les directives du serveur virtuel en allant dans Services -> Configurer le site Web pour SSL -> Modifier les directives , utile si vous préférez la directive SSLCertificateChainFile pour fournir les certificats CA intermédiaires.
- cPanel WHM :accédez à Répertorier les comptes dans le menu de gauche, puis cliquez sur le symbole cPanel à côté de l'hôte sur lequel vous souhaitez installer les certificats CA intermédiaires.
Sur cPanel, sélectionnez le Gestionnaire SSL/TLS sous "Sécurité". Ensuite, cliquez sur Gérer les sites SSL sous "Activer SSL sur votre site Web (HTTPS) “. Sélectionnez le nom de domaine approprié dans la liste déroulante. Ensuite, collez le certificat dans Certificat :(CRT) zone de texte, collez la clé privée déchiffrée dans la Clé :(CLÉ) zone de texte et collez le contenu des certificats CA dans le ensemble d'autorités de certification :(CABUNDLE) zone de texte. Appuyez sur Installer le certificat une fois terminé.