Chaîne de certificats TLS : feuille, intermédiaire et racine

Un serveur TLS envoie généralement le certificat feuille et les intermédiaires nécessaires pour construire un chemin vers une racine déjà approuvée par le client. La racine se trouve normalement dans le magasin de confiance ; l’envoyer depuis le serveur ne crée pas la confiance.

Comment se construit la confiance du certificat

La confiance dans un certificat serveur se construit depuis le certificat du site, via les autorités intermédiaires, jusqu’à un certificat racine approuvé par le client. Le serveur envoie normalement son certificat et les intermédiaires nécessaires, mais il n’a pas besoin d’envoyer le certificat racine.

Comment vérifier la chaîne de certificats

Inspectez le certificat du nom d’hôte concerné : dates, noms SAN et certificats intermédiaires. Si un client fait confiance au site et un autre non, comparez leurs magasins de confiance et la chaîne envoyée par le serveur. Pour vérifier indépendamment l’accessibilité, utilisez vérification de serveur 2ip ; analysez la chaîne de certificats séparément.

Pourquoi deux clients peuvent obtenir un résultat différent

Références techniques: RFC 5280.