20200210 - Sectigo / Comodo CA : expiration de la racine Addtrust
La racine Addtrust External CA sur laquelle étaient émis tous les certificats serveur RSA Sectigo, TBS X509 et PositiveSSL expire en mai 2020.
Afin d'assurer la reconnaissance de ces certificats avec les navigateurs une nouvelle chaîne est désormais utilisée pour l'émission de vos certificats.
Nouvelle chaîne
Depuis le 06 février 2020, les certificats Sectigo, TBS X509 et PositiveSSL sont émis sur l'intermédiaire USERTrust RSA Certification Authority chaîné à la racine Comodo AAA Certificate Services.
Quelles conséquences ?
Dans la plupart des cas aucune modification n'est nécessaire sur vos certificats installés, ils sont compatibles avec les navigateurs émis depuis 2015. Cependant si vos utilisateurs utilisent encore des systèmes d'exploitations Android inférieur à 4.4 ou des iOS inférieur à 9 alors nous recommandons d'activer le nouvel intermédiaire qui pointe sur la racine COMODO AAA Certificate Services.
Deux façons de faire:
- – demander une re-fabrication de votre certificat et installer bien la nouvelle chaîne
- – modifier manuellement l'intermédiaire USERTrust RSA Certification Authority
La reconnaissance de vos certificats sera (légèrement) impactée par cette modification de chaîne :
- Outils mobiles :
- La reconnaissance est meilleure sur les outils Apple et Android
- Pas de changement notable sur les autres - Navigateurs de bureau :
- Légère perte de reconnaissance sur Opéra (racine présente à partir de la version 12.12), Safari (racine présente à partir de la version 4.1.3) et Linux (racine présente à partir du CA-Certificate 20061027)
- Pas de changement sur Windows (tous navigateurs et Seamonkey)
- Reconnaissance un peu meilleure sur Firefox et J2RE (tout OS)
De même, lors de votre renouvellement il faudra ré-installer la chaîne entière, pas uniquement le certificat.
L’intérêt d'installer ou de ré-installer la chaîne entière permet à ce que les anciens équipements (appareils Android ou iOS notamment) qui ne possèdent pas le nouveau certificat RACINE USERTrust RSA Certification Authority puissent aller jusque au bout de la chaîne de certification, c'est à dire jusque la racine AAA Certificate Services
Cas de CURL
L'outil CURL a un bug (provient peut être d'openSSL) pour la vérification des chaînes et fait une erreur fatale sur
certificate has expiredSi vous avez le contrôle sur le serveur, il suffit d'éditer la chaîne pour ne pas renvoyer ce certificat
s:/C=US/ST=New Jersey/L=Jersey City/O=The USERTRUST Network/CN=USERTrust RSA Certification Authority i:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA RootSi par contre vous n'avez pas le contrôle sur le serveur, passez sur l'outil WGET qui n'a pas ce bug.