Corriger une erreur de racine ou de certificat non approuvée (Windows IIS uniquement)

Si vous ou vos clients constatez une erreur de «racine non approuvée» ou de chaîne de certificats SSL, votre certificat SSL actuel peut nécessiter des certificats supplémentaires dans le bundle pour que les navigateurs Web puissent faire confiance à votre site. Suivez ces étapes pour résoudre ce problème pour Windows IIS.

Pour la CSR et la clé privée générées dans IIS

1. Téléchargez le nouveau bundle et copiez-le sur l'un des serveurs IIS.
2. Ouvrez MMC et ajoutez le composant logiciel enfichable de vue de certificat.
3. Cliquez avec le bouton droit sur Certificats intermédiaires , sélectionnez Importer , puis accédez au fichier .p7b fourni dans le nouveau bundle. Sélectionnez le fichier et importez-le. Une fois l’importation terminée, vous verrez un message de réussite.
4. Ouvrez le gestionnaire IIS et accédez à Certificats de serveur .
5. Sélectionnez Terminer la demande de certificat et accédez au .cer fourni dans le bundle.
6. Importez le bundle sur votre ordinateur local et, une fois l'importation terminée, un message de réussite s'affiche.
7. Dans MMC, cliquez avec le bouton droit sur le nouveau certificat importé et sélectionnez Exporter .
8. Choisissez d'exporter également la clé privée, fournissez un nouveau nom / chemin pour le .pfx, puis installez le .pfx nouvellement créé sur vos serveurs Web et liez-vous à tout site qui en a besoin.

Pour la CSR et la clé privée générées en externe (par exemple, dans OpenSSL)

1. Exécutez cette commande pour créer un fichier PFX:
   openssl pkcs12 -export -out [newFileName.pfx] -inkey [privateKey] -in [newBundleFileName]
   où:
   
   • newFileName est le nom du fichier de sortie pour le PFX (par exemple, coolexample_new.com.pfx)
   • privateKey est le fichier de clé privée (par exemple, coolexample.com.key)
   • newBundleFileName est le bundle de certificats à inclure (par exemple, coolexample.com_bundleNoG2.crt)
   Entrez votre mot de passe lorsque vous y êtes invité.
2. Chargez le PFX sur votre serveur et double-cliquez pour commencer l'installation.
3. Sélectionnez Ordinateur local et sélectionnez Suivant .
4. Sélectionnez Vérifier le nom de fichier , puis Suivant .
5. Sélectionnez Saisir le mot de passe (nous recommandons toujours de le faire pour une sécurité accrue), sélectionnez Sélectionner la clé de marque exportable , puis sélectionnez Suivant .
6. Sélectionnez Sélectionner automatiquement le magasin de certificats , sélectionnez Suivant , puis Terminer . Une fois l'importation terminée, un message de réussite s'affiche.

Afficher le certificat

Quelle que soit la manière dont vous avez installé le bundle, voici comment afficher le certificat installé:

1. Ouvrez une invite de commande, tapezMMC et appuyez sur Entrée.
2. Dans MMC, sélectionnez Fichier , puis Ajouter / Supprimer un composant logiciel enfichable .
3. Dans le menu de gauche, sélectionnez Certificats et sélectionnez Ajouter .
4. Sélectionnez Compte d'ordinateur , puis Suivant .
5. Sélectionnez Ordinateur local , puis Terminer .
6. Sélectionnez OK .
7. Revenez à Certificats (ordinateur local) , sélectionnez Personnel , puis Certificats . Le nouveau certificat apparaît dans la liste.

En savoir plus

• Pourquoi GoDaddy supprime-t-il ClientAuth EKU et passe-t-il à la hiérarchie racine R1 pour l'émission de DV TLS?: Explique pourquoi vous avez vu l'erreur «racine non approuvée» ou chaîne de certificats.