Qu'est-ce qu'une chaîne de certificats SSL ? Comment ça marche

Une chaîne de certificats SSL aide les navigateurs et autres clients à vérifier que le certificat numérique d'un site Web est fiable. Lorsque vous visitez un site Web via HTTPS, votre navigateur vérifie son certificat TLS pour confirmer qu'il identifie le domaine demandé et peut être validé par une autorité de certification (CA) de confiance. Cette vérification dépend souvent d'une chaîne de certificats reliant le certificat du site Web à un certificat racine de confiance. Si un certificat intermédiaire est manquant ou si la chaîne ne peut pas être validée, les utilisateurs peuvent rencontrer des avertissements de sécurité ou des erreurs de connexion. Comprendre le fonctionnement d'une chaîne de certificats SSL aide les propriétaires de sites Web, les administrateurs système et les professionnels de la sécurité à résoudre les problèmes de certificat et à maintenir des connexions HTTPS fiables.

Qu'est-ce qu'une chaîne de certificats SSL ?

Une chaîne de certificats SSL, également appelée chaîne de certificat de confiance, est une séquence de certificats numériques qui établit un chemin depuis le certificat d'un site Web vers une autorité de certification racine de confiance. Bien que SSL reste un terme courant, les connexions HTTPS modernes utilisent Transport Layer Security (TLS).

Une chaîne typique contient trois types de certificats : le certificat feuille du site Web, un ou plusieurs certificats intermédiaires et un certificat racine. Le certificat feuille identifie le site Web ou le serveur. Les certificats intermédiaires permettent de déléguer l'émission des certificats, tandis que le certificat racine sert d'ancre de confiance lorsqu'il est approuvé par le client.

Par exemple, lorsqu'un navigateur se connecte à un site Web HTTPS, il valide le certificat du site Web et tente de créer un chemin approuvé via les certificats intermédiaires disponibles vers un certificat racine dans son magasin de confiance. Il vérifie également le nom d'hôte, les dates de validité, les signatures numériques et d'autres exigences de certificat applicables.

Une chaîne de certificats valide permet d'établir l'identité du serveur lors de la négociation TLS. Cependant, cela ne prouve pas qu’un site Web est légitime, exempt de logiciels malveillants ou exploité par une organisation digne de confiance.

Comment fonctionne la chaîne de confiance des certificats SSL ?

La chaîne de confiance des certificats permet aux navigateurs et autres clients de valider le certificat d'un site Web à l'aide de certificats émis par des autorités de confiance. Chaque certificat est lié à une autorité émettrice, créant ainsi un chemin depuis le certificat du site Web vers une ancre de confiance acceptable.

Étape 1 : Le site Web présente son certificat

Lorsqu'un navigateur se connecte à un site Web via HTTPS, le serveur présente son certificat feuille lors de la négociation TLS. Ce certificat contient la clé publique du site Web, les informations sur le domaine, les détails de l'émetteur, la période de validité et la signature numérique.

Le navigateur vérifie si le nom d'hôte demandé correspond aux entrées SAN (Subject Alternative Name) du certificat et si le certificat satisfait aux exigences de validation applicables.

Étape 2 : Le certificat intermédiaire établit le lien suivant

Le certificat du site Web est généralement émis par une autorité de certification intermédiaire plutôt que directement par une autorité de certification racine. Le client utilise la clé publique du certificat intermédiaire pour vérifier la signature sur le certificat feuille.

Certaines chaînes contiennent plusieurs certificats intermédiaires. Chaque lien doit satisfaire aux règles de validation de certificat pertinentes pour que le client puisse créer un chemin approuvé.

Étape 3 : La chaîne atteint une racine de confiance

Un certificat racine appartient à une autorité de certification racine et est généralement auto-signé. Les navigateurs et les systèmes d'exploitation conservent des certificats racines de confiance selon leurs propres politiques de confiance.

Le client tente de connecter le certificat feuille via les certificats intermédiaires requis à une racine approuvée. Le serveur n'a normalement pas besoin d'envoyer le certificat racine car le client dispose déjà de ses informations de confiance.

Étape 4 : Le client valide la chaîne

Le client vérifie les signatures des certificats, les périodes de validité, le nom d'hôte, les contraintes du certificat et d'autres exigences applicables. Selon sa configuration, il peut également vérifier les informations de révocation de certificat.

Si le client crée un chemin valide et que les vérifications requises réussissent, il peut accepter le certificat du serveur. Sinon, la connexion peut produire un avertissement de certificat ou échouer.

Certificat racine, certificat intermédiaire ou certificat feuille

Chaque certificat de la chaîne a un objectif spécifique. Comprendre ces différences aide les administrateurs à configurer correctement HTTPS et à résoudre les erreurs de certificat.

1. Certificat de feuille

Un certificat feuille, également appelé certificat d'entité finale, identifie un site Web ou un serveur. Il contient la clé publique, les informations sur le domaine, l'émetteur, les dates de validité et la signature numérique.

Le serveur présente ce certificat au client lors de la négociation TLS. Le client vérifie son identité et sa validité avant de l'accepter pour la connexion.

2. Certificat intermédiaire

Un certificat intermédiaire appartient à une autorité de certification subordonnée qui délivre des certificats ou délègue la délivrance à une autre autorité. Il connecte le certificat du site Web à un certificat racine de confiance.

Les autorités de certification intermédiaires permettent aux autorités de certification racine de conserver leurs clés privées plus isolées tout en déléguant l'émission des certificats. Si un certificat intermédiaire requis est manquant et ne peut pas être obtenu via un autre mécanisme disponible, le client peut ne pas être en mesure de valider la chaîne.

3. Certificat racine

Un certificat racine appartient à une autorité de certification racine et agit comme une ancre de confiance lorsqu'il est accepté par le magasin de confiance d'un client. Il est généralement auto-signé, mais le fait d'être auto-signé ne rend pas automatiquement un certificat fiable.

Le client doit reconnaître la racine comme étant approuvée dans le cadre de sa stratégie d'approbation configurée.

Une chaîne typique suit donc ce chemin :

Certificat de site Web → Certificat CA intermédiaire → Certificat racine de confiance

La chaîne exacte dépend de l'autorité de certification, de la configuration du serveur et des certificats disponibles pour le client.

Comment les navigateurs valident une chaîne de certificats SSL

Les navigateurs valident les chaînes de certificats lors de la négociation TLS pour déterminer si l'identité du serveur est fiable.

Vérification du nom d'hôte

Le navigateur vérifie si le domaine demandé correspond aux entrées SAN du certificat. Un certificat délivré pourexemple.compeut ne pas couvrirboutique.exemple.comsauf si le nom d'hôte supplémentaire ou un caractère générique approprié est inclus.

Une incompatibilité de nom d'hôte peut déclencher un avertissement du navigateur ou entraîner le rejet de la connexion.

Vérification de la signature numérique

Les signatures numériques aident les clients à vérifier l'intégrité et l'authenticité des certificats au sein du chemin de certification. Le client utilise la clé publique du certificat émetteur pour vérifier la signature sur le certificat examiné.

Les opérations cryptographiques sont au cœur de ce processus. Pour une explication connexe, lisez le guide de CyberLad surle hachage en cybersécurité.

Expiration du certificat

Les certificats ont des périodes de validité définies par leurPas avantetPas aprèschamps. Le client vérifie si les certificats concernés sont valides au moment de la vérification.

Un certificat feuille ou intermédiaire expiré peut empêcher une validation réussie. Les administrateurs doivent surveiller les dates d'expiration et confirmer que les certificats renouvelés ont été correctement installés.

Magasin de confiance et chemin de certificat

Le client tente de créer un chemin valide depuis le certificat feuille jusqu'à une ancre de confiance acceptable en passant par les certificats intermédiaires. Il vérifie également les contraintes de certificat applicables et les exigences d'utilisation des clés.

Les magasins de confiance varient selon le système d'exploitation, le navigateur et l'application. Un certificat approuvé dans un environnement peut ne pas l'être dans un autre.

Révocation du certificat

Les certificats peuvent être révoqués avant leur date d'expiration si leurs clés privées sont compromises ou si d'autres conditions nécessitent une révocation. Les autorités de certification peuvent publier des informations de révocation via des listes de révocation de certificats (CRL) ou le protocole OCSP (Online Certificate Status Protocol).

Le comportement de vérification de révocation varie selon les clients. Certains utilisent des informations mises en cache ou des mécanismes alternatifs. Une validation de chaîne réussie ne signifie donc pas toujours que chaque client a effectué des contrôles de révocation identiques.

Erreurs courantes de la chaîne de certificats SSL et leurs causes

Des erreurs de chaîne de certificat se produisent lorsqu'un client ne peut pas valider le certificat présenté par un serveur. L'identification de l'erreur spécifique est essentielle car chaque problème nécessite une solution différente.

1. Chaîne de certificat incomplète

Une chaîne incomplète se produit lorsque le serveur ne fournit pas le certificat intermédiaire requis et que le client ne peut pas créer un chemin approuvé à l'aide d'autres certificats disponibles.

Les causes courantes incluent des certificats intermédiaires manquants, des ensembles de certificats incorrects et des modifications de configuration suite à une migration de serveur.

Comment y remédier :Obtenez les certificats intermédiaires corrects auprès de votre autorité de certification et configurez le serveur pour présenter le certificat feuille suivi des intermédiaires requis.

2. Autorité de certification non fiable

Un client peut rejeter une chaîne lorsqu'il ne peut pas connecter le certificat à une ancre de confiance acceptable. Cela peut se produire avec des certificats auto-signés ou des certificats d'autorité de certification privés qui n'ont pas été installés dans le magasin de confiance du client.

Comment y remédier :Utilisez une autorité de certification de confiance publique pour les sites Web publics. Pour les applications internes, distribuez le certificat racine de l'organisation via un processus de gestion de confiance approuvé. N'installez jamais un certificat racine inconnu simplement pour contourner un avertissement.

3. Certificat expiré

Un certificat feuille ou intermédiaire expiré peut empêcher une validation réussie.

Comment y remédier :Vérifiez les dates de validité, renouvelez ou remplacez le certificat concerné et assurez-vous que la chaîne de certificats mise à jour est installée à chaque point de terminaison TLS concerné.

4. Incompatibilité de nom d'hôte

Une incompatibilité de nom d'hôte se produit lorsque le domaine demandé n'est pas couvert par les entrées SAN du certificat.

Comment y remédier :Installez un certificat qui couvre le nom d'hôte demandé. Vérifiez les paramètres de l'hôte virtuel, l'indication du nom du serveur (SNI) et les liaisons de certificat de l'équilibreur de charge.

5. Ensemble de certificats incorrect

Un serveur peut présenter un mauvais certificat intermédiaire ou un ensemble de certificats mal ordonnés.

Comment y remédier :Comparez l'émetteur du certificat feuille avec les certificats intermédiaires configurés. Corrigez le bundle et testez la configuration du serveur avant de recharger le service.

6. Révocation ou autre échec de validation

Un certificat peut échouer à la validation car il a été révoqué ou ne satisfait pas à une autre exigence de certificat applicable.

Comment y remédier :Vérifiez l'état du certificat et consultez les instructions de l'AC émettrice. Remplacez un certificat révoqué et recherchez la cause. La désactivation de la vérification du certificat n'est pas une solution sûre.

Comment vérifier une chaîne de certificat SSL

Vous pouvez inspecter la chaîne de certificats d'un site Web public à l'aide d'un service de test en ligne ou d'outils de ligne de commande.

Méthode 1 : utiliser SSL Labs

Qualys SSL Labs SSL Server Test analyse les serveurs TLS accessibles au public et signale les problèmes de certificat et de configuration.

1. Ouvrez la page de test SSL Labs.

2. Entrez le domaine que vous souhaitez inspecter.

3. Exécutez le test et attendez l’analyse.

4. Vérifiez les détails du certificat et les informations sur la chaîne.

5. Examinez les avertissements concernant la confiance, l’expiration, les intermédiaires manquants ou la validation du nom d’hôte.

SSL Labs est utile pour les tests externes sans installer de logiciel supplémentaire. Évitez de soumettre des noms d'hôtes ou des systèmes internes sensibles, sauf si les politiques de votre organisation autorisent l'utilisation d'un service externe.

Méthode 2 : Inspecter les certificats avec OpenSSL

OpenSSL peut afficher les certificats présentés par un serveur lors d'une connexion TLS. Exécuter :

openssl s_client -connect exemple.com:443 \
  -nom du serveur exemple.com \
  -showcerts

Remplacerexemple.comavec le domaine cible.

Le-connecterL'option spécifie la destination et le port. Le-nom du serveurL'option envoie le nom d'hôte via SNI, tandis que-showcertsaffiche les certificats envoyés par le serveur.

Important :L'affichage des certificats ne prouve pas que la chaîne est fiable. Utilisez les options de vérification pour vérifier le chemin du certificat et le nom d'hôte.

Méthode 3 : vérifier la chaîne et le nom d'hôte

Exécutez la commande suivante pour demander la vérification du certificat et la vérification du nom d'hôte :

openssl s_client \
  -connect exemple.com:443 \
  -nom du serveur exemple.com \
  -verify_return_error \
  -verify_hostname exemple.com

Recherchez un résultat de vérification réussi, tel queVérifiez le code retour : 0 (ok). Le résultat exact dépend de la version d'OpenSSL, du magasin de confiance et des paramètres de vérification.

Le-verify_return_errorL'option entraîne le retour des erreurs de vérification au lieu de permettre à la commande de continuer après elles. Voir ledocumentation officielle d'OpenSSL s_client.

Méthode 4 : Inspecter les détails de l'émetteur et de l'expiration

Si vous avez enregistré le certificat feuille en tant que fichier PEM, exécutez :

openssl x509 -in certificat.pem -noout \
  -sujet -émetteur -dates

Cela affiche l'objet, l'émetteur et les dates de validité du certificat. Utilisez le résultat pour vérifier si l'émetteur correspond à l'autorité de certification attendue et si le certificat est dans sa période de validité.

Comment réparer une chaîne de certificat SSL incomplète

La réparation d'une chaîne incomplète implique généralement d'identifier l'intermédiaire manquant, d'obtenir le bon ensemble de certificats, de configurer le point de terminaison TLS et de tester le résultat.

Étape 1 : Identifier l'intermédiaire manquant

Exécutez la commande OpenSSL ci-dessus ou utilisez SSL Labs pour examiner la chaîne. Vérifiez quels certificats le serveur envoie et si le client peut créer un chemin approuvé.

Un échec de vérification ne signifie pas toujours qu’un intermédiaire est manquant. Examinez également l'expiration, les incohérences de nom d'hôte et les problèmes de magasin de confiance.

Étape 2 : Obtenez le bon ensemble de certificats

Téléchargez les certificats intermédiaires requis depuis le site Web officiel de votre autorité de certification ou sur le portail de gestion des certificats. Confirmez que les certificats correspondent à l'émetteur de votre certificat feuille.

Le certificat racine est normalement déjà disponible dans le magasin de confiance du client et n'a généralement pas besoin d'être inclus dans le paquet de certificats du serveur.

Étape 3 : Configurer Nginx

Pour Nginx, le fichier de certificat doit d'abord contenir le certificat feuille, suivi des certificats intermédiaires requis.

serveur {
    écoutez 443 SSL ;
    nom_serveur exemple.com ;

    certificat_ssl /etc/ssl/certs/fullchain.pem;
    ssl_certificate_key /etc/ssl/private/example.com.key ;
}

Les chemins sont des exemples. Utilisez les emplacements appropriés pour votre environnement et assurez-vous que la clé privée est protégée par les autorisations appropriées.

Testez la configuration avant de recharger Nginx :

sudo nginx -t

Étape 4 : Vérifiez Apache et les autres points de terminaison TLS

Les configurations Apache peuvent utiliserFichier de certificat SSLfournir le certificat feuille et les certificats intermédiaires nécessaires. Suivez la documentation pour votre version et votre déploiement d'Apache.

Si HTTPS se termine au niveau d'un proxy inverse, d'un réseau de diffusion de contenu, d'un pare-feu d'application Web ou d'un équilibreur de charge, vérifiez le certificat installé sur cette couche. La mise à jour uniquement du serveur d'origine ne corrigera pas un certificat incorrect servi par un proxy distinct.

Étape 5 : Vérifiez le correctif

Après avoir apporté les modifications, réexécutez OpenSSL et SSL Labs. Confirmez que le serveur présente les certificats attendus et que le client peut valider la chaîne et le nom d'hôte.

Pour les environnements avec plusieurs serveurs ou points de terminaison TLS, testez chaque point de terminaison pertinent. Un résultat réussi sur un serveur ne garantit pas que tous les points de terminaison ont la même configuration.

Meilleures pratiques de la chaîne de certificats SSL

Utiliser des autorités de certification de confiance

Utilisez des autorités de certification de confiance publique pour les sites Web publics. Pour les applications internes, distribuez la confiance d’autorité de certification privée en toute sécurité aux clients autorisés.

Automatisez le renouvellement et la surveillance

Utilisez les outils de gestion des certificats lorsqu'ils sont pris en charge et alertez les administrateurs avant l'expiration des certificats. Vérifiez que les certificats renouvelés sont effectivement déployés et servis par les points de terminaison concernés.

Protéger les clés privées

Limitez l'accès aux clés privées des certificats, stockez-les en toute sécurité et évitez de les exposer dans des journaux ou des référentiels publics. Si une clé est compromise, remplacez le certificat concerné et suivez les procédures appropriées de réponse aux incidents et de révocation.

Valider après les modifications de configuration

Testez la chaîne de certificats après les renouvellements, les migrations de serveurs, les modifications de l'équilibreur de charge ou les mises à jour du proxy inverse. Vérifiez la correspondance du nom d'hôte, l'expiration, la construction de la chaîne et les erreurs de vérification.

Tenir un inventaire de certificats

Enregistrez les propriétaires de certificats, les domaines, les autorités de certification émettrices, les dates d'expiration, les emplacements de déploiement et les méthodes de renouvellement. Un inventaire centralisé aide les équipes à trouver rapidement les services concernés en cas de panne.

Surveiller les certificats tiers

Les problèmes de certificat peuvent affecter les services dont dépend votre organisation, et pas seulement votre propre site Web. Surveillez les points de terminaison TLS externes importants, notamment les fournisseurs d'identité, les passerelles de paiement et les API. CyberLad explique ce risque plus large dansCinq risques tiers que votre scanner de vulnérabilités ne peut pas détecter.

Utiliser des configurations TLS sécurisées

Une chaîne de certificats valide ne constitue qu'une partie de la sécurité HTTPS. Utilisez les versions TLS prises en charge, les paramètres cryptographiques appropriés et les pratiques de gestion sécurisée des clés. Un certificat de confiance ne garantit pas qu'une application est exempte de vulnérabilités.

Conclusion

Une chaîne de certificats SSL est un élément essentiel de la sécurité HTTPS car elle permet aux navigateurs et autres clients de valider le certificat d'un site Web via un chemin vers une autorité de certification de confiance. Comprendre les certificats feuille, intermédiaires et racine aide les administrateurs à résoudre les problèmes des chaînes incomplètes, des certificats expirés et des erreurs de confiance. Une surveillance régulière, une configuration correcte du serveur, une gestion sécurisée des clés privées et une vérification post-déploiement contribuent à maintenir des connexions TLS fiables. En suivant ces pratiques, les propriétaires de sites Web et les professionnels de la sécurité peuvent réduire les interruptions liées aux certificats et améliorer la fiabilité de leur infrastructure HTTPS.

Foire aux questions

Qu'est-ce qu'une chaîne de certificats SSL ?

Une chaîne de certificats SSL est une séquence de certificats numériques qui établit un chemin depuis le certificat d'un site Web vers une autorité de certification racine de confiance. Il comprend généralement le certificat feuille et un ou plusieurs certificats intermédiaires.

Quelle est la différence entre un certificat racine et intermédiaire ?

Un certificat racine agit comme une ancre de confiance lorsqu'il est accepté par le client. Un certificat intermédiaire délègue l'émission du certificat et connecte le certificat feuille à la racine approuvée.

Un serveur Web doit-il envoyer le certificat racine ?

Habituellement, non. Le serveur envoie normalement son certificat feuille et les certificats intermédiaires requis. Le client dispose généralement déjà de son certificat racine approuvé dans son magasin de confiance.

Comment puis-je vérifier une chaîne de certificat SSL ?

UtilisezLaboratoires SSLpour inspecter un site Web public ou exécuteropenssl s_clientpour examiner les certificats présentés par un serveur. Incluez les options de vérification du nom d’hôte et du certificat lorsque vous vérifiez si la chaîne est fiable.

Quelles sont les causes d’une chaîne de certificats SSL incomplète ?

La cause la plus courante est un certificat intermédiaire manquant. Des ensembles de certificats incorrects, des configurations obsolètes et des paramètres TLS incohérents sur les serveurs peuvent également empêcher les clients de créer un chemin de certification valide.

Comment réparer une chaîne de certificats incomplète ?

Obtenez les certificats intermédiaires corrects auprès de l'autorité de certification, configurez le serveur pour présenter le certificat feuille suivi des intermédiaires nécessaires et testez la configuration mise à jour. Les étapes précises dépendent du logiciel serveur et du point de terminaison TLS.

Une chaîne de certificats SSL est-elle identique à un certificat SSL ?

Non. Un certificat contient des informations sur l'identité et la clé publique d'un site Web. La chaîne est la séquence de certificats utilisée pour établir un chemin de confiance depuis ce certificat vers une ancre de confiance acceptable.

Une chaîne de certificats valide signifie-t-elle qu’un site Web est sûr ?

Non. Une chaîne valide permet de vérifier l'identité certifiée d'un site Web dans le cadre de la politique de confiance du client. Il ne garantit pas que le site Web soit légitime, exempt de logiciels malveillants ou protégé contre les vulnérabilités des applications.