Une chaîne de certificats (également appelée chaîne de confiance ou chemin de certification) est le chemin complet de certificats numériques nécessaires pour vérifier qu'un certificat serveur est digne de confiance. Elle se compose de trois niveaux : le certificat feuille (entité finale) pour votre domaine, un ou plusieurs certificats CA intermédiaires, et un certificat CA racine que les clients font déjà confiance.
Pendant la validation de la négociation TLS, le client vérifie la signature du certificat feuille à l'aide de la clé publique de l'intermédiaire, puis vérifie l'intermédiaire à l'aide de la clé publique de l'autorité de certification suivante, en continuant jusqu'à atteindre une racine de confiance déjà stockée localement sur l'appareil ou le système d'exploitation du client. Le serveur envoie uniquement les certificats feuille et intermédiaire—le client fournit la racine à partir de son propre magasin de confiance.
La validation vérifie également les périodes de validité du certificat, les contraintes d'utilisation des clés et l'état de révocation (via OCSP ou CRL). La validation du chemin est formellement définie dans la RFC 5280, Section 6.
Exemple : Une chaîne de certificats serveur web ressemble généralement à :
- Feuille : certificat
www.example.com - Intermédiaire : certificat CA intermédiaire (par exemple, de Let's Encrypt)
- Racine : autorité de certification racine de confiance (par exemple, IdenTrust Global Root)
WarningProblème de chaîne incomplète : Les administrateurs serveur installent parfois uniquement le certificat feuille, en omettant les intermédiaires requis. Bien que certains navigateurs mettent en cache les intermédiaires et valident toujours, d'autres clients, applications mobiles et outils échoueront avec « unable to get local issuer certificate ». Configurez toujours votre serveur pour servir la chaîne complète, y compris tous les intermédiaires.
Les chaînes de certificats sont régies par RFC 5280 (profil X.509), RFC 8446 (TLS 1.3) et CA/Browser Forum Baseline Requirements.