NET::ERR_CERT_AUTHORITY_INVALID : origine et correction

Comment fonctionne la chaîne de confiance

Un certificat n'est jamais crédible tout seul : il est signé par un certificat intermédiaire, lui-même signé par un certificat racine que votre navigateur ou votre système d'exploitation embarque et considère comme digne de confiance. Le navigateur doit pouvoir reconstituer cette chaîne entière, du certificat de votre site jusqu'à la racine, sinon il ne valide rien.

Or c'est au serveur d'envoyer les maillons intermédiaires — la racine, elle, est déjà chez le client. Si vous n'installez que le certificat de votre domaine sans les intermédiaires, la chaîne est rompue. Certains navigateurs et systèmes savent parfois retrouver le maillon manquant tout seuls (ou l'ont mis en cache lors d'une visite précédente), d'autres non : d'où ces erreurs « aléatoires » qui ne touchent qu'une partie des visiteurs et qui rendent le diagnostic déroutant.

Cause 1 : la chaîne est incomplète (le cas le plus fréquent)

Le correctif consiste à servir le fichier qui contient le certificat ET ses intermédiaires. Avec Let's Encrypt, c'est fullchain.pem — pas cert.pem, qui ne contient que votre certificat. Avec un certificat commercial, l'autorité fournit un fichier de bundle CA à concaténer ou à référencer explicitement.

Après modification, rechargez impérativement le service : tant que le processus n'a pas relu sa configuration, il continue de servir l'ancienne chaîne, ce qui donne l'impression que le correctif n'a rien changé.

openssl s_client -connect exemple.com:443 -servername exemple.com </dev/null
# « Verify return code: 0 (ok) »               → chaîne complète
# « unable to get local issuer certificate »   → intermédiaire manquant

ssl_certificate     /etc/letsencrypt/live/exemple.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/exemple.com/privkey.pem;

SSLCertificateFile    /etc/letsencrypt/live/exemple.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/exemple.com/privkey.pem
# Apache < 2.4.8 uniquement :
# SSLCertificateChainFile /chemin/vers/chain.pem

cat votre_domaine.crt intermediaire.crt > fullchain.crt

Cause 2 : certificat auto-signé, cause 3 : interception

Un certificat auto-signé n'est signé par personne d'autre que lui-même : aucune autorité reconnue ne le cautionne, donc aucun navigateur ne l'acceptera jamais sans exception manuelle. C'est parfaitement adapté à un environnement de développement local ou à un service interne, jamais à un site public. Sur un site en production, remplacez-le par un certificat Let's Encrypt, gratuit, automatisable et proposé en un clic par la plupart des hébergeurs.

Si l'erreur apparaît chez un visiteur alors que le certificat est correct, l'explication est souvent une interception légitime : antivirus avec analyse HTTPS, proxy d'entreprise, contrôle parental. Ces outils déchiffrent le trafic en présentant leur propre certificat, normalement installé comme autorité de confiance sur la machine. Quand cette installation manque ou est périmée, l'erreur apparaît. Pour le vérifier, cliquez sur le message d'erreur puis consultez le certificat : si l'émetteur porte le nom de votre antivirus ou de votre entreprise plutôt que celui d'une autorité connue, la cause est identifiée.

Un cas mérite une vigilance réelle : sur un réseau public inconnu, une interception non expliquée peut être une attaque de type homme du milieu. Ne saisissez aucun identifiant sur une page qui déclenche cette erreur tant que vous n'avez pas identifié l'émetteur du certificat.

Vérifier après correction

Testez depuis un appareil vierge et un autre réseau, car votre poste de travail peut compléter la chaîne de mémoire et vous montrer un site parfaitement fonctionnel là où vos visiteurs voient une erreur. Le téléphone en données mobiles, sans Wi-Fi, est le meilleur juge de paix.

Vérifiez aussi toutes les variantes de nom (avec et sans www, sous-domaines) : chacune peut être servie par un vhost différent avec sa propre configuration. Un scan externe contrôle en une passe la validité du certificat, la complétude de la chaîne, la correspondance du domaine et l'échéance de renouvellement.