# Problème de certificats site web interne **URL:** \ **Category:** Support Debian\ **Tags:** certificats\ **Created:** [Mai 13, 2022, 9:10 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528 "2022-05-13T09:10:56Z")\ **Posts on this page:** 17\ **Page:** 1
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Mai 13, 2022, 9:10 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/1 "2022-05-13T09:10:56Z")
Bonjour, je me suis créé une PKI à partir de XCA. J’ai créé un certificat CA auto-signé, puis j’ai créé 3 certificats CA intermédiaires. A partir d’un de ces certificats intermédiaires, j’ai créé des certificats pour des serveurs web HTTPS. Quand j’intègre mes Sub CA et mon CA dans Firefox sur Debian, j’ai bien le site web qui est reconnu sans erreur. J’ai testé avec deux sites différents sur deux serveurs différents. mais sur Firefox Windows, ça ne marche pas, j’ai à chaque fois une alerte qui apparait avec l’erreur SEC\_ERROR\_UNKNOWN\_ISSUER. savez-vous pourquoi ça ne marche pas sur Firefox Windows (v 100.0) alors que ça marche sur Firefox-ESR Debian (v 91.9.0esr )? serait-ce lié à la différence de version? ---
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Mai 13, 2022, 9:24 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/2 "2022-05-13T09:24:26Z")
Salut, Zargos > [@Zargos](#): > > savez-vous pourquoi ça ne marche pas sur Firefox Windows (v 100.0) alors que ça marche sur Firefox-ESR Debian (v 91.9.0esr )? serait-ce lié à la différence de version? Non ! J’allais te dire de tester en installant le paquet firefox, mais il faut être sous Sid. Si tu as un poste avec, fais donc le test 😉 Autrement, concernant Windows, c’est parce que ton autorité n’est pas reconnue. Est-ce que tu as le bouton [Avancé] proposé ? Si oui, est-ce qu’un clic sur le bouton suivant [**Acceptez le risque et continuez**] te permet d’atteindre le site ? Mais c’est une solution bancale, car tu ne peux demander à tous de faire la même chose, c’est trop contraignant. Voilà (mes idées en passant) PS : le site suivant montre un tuto complet concernant la production de certs avec XCA : - [Créer une PKI avec XCA](https://www.arsouyes.org/blog/2019/38_PKI_avec_XCA) (mais ça ne répond pas exactement à ta requête) ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Mai 13, 2022, 9:45 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/3 "2022-05-13T09:45:28Z")
> [@PengouinPdt](#): > > J’allais te dire de tester en installant le paquet firefox, mais il faut être sous Sid. Si tu as un poste avec, fais donc le test 😉 je vais essayer avec une VM debian sous SID > [@PengouinPdt](#): > > Autrement, concernant Windows, c’est parce que ton autorité n’est pas reconnue. Est-ce que tu as le bouton [Avancé] proposé ? Oui j’ai fait tout ça, mais sur debian ça marche tel que prévu normalement, mais sous Windows ca me dit que non, et je dois valider mais l’idée c’est de ne pas le faire justement 🙂 D’autant que sans certificats USER ensuite (2ème étape), les accès seront refusé. C’est un site à utilisation interne uniquement, donc pas d’utilisation par qui que ce soit qui n’ai pas reçu les certificats qui vont bien, le reste du monde n’aura pas accès. ---
**Author:** ![anon29980398](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/f4b2a3/32.png) [@anon29980398](https://www.debian-fr.org/u/anon29980398)\ **Post date:** [Mai 13, 2022, 9:51 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/4 "2022-05-13T09:51:15Z")
Bonjour > [@Zargos](#): > > … sur Firefox Windows, ça ne marche pas, j’ai à chaque fois une alerte qui apparait avec l’erreur SEC\_ERROR\_UNKNOWN\_ISSUER. > … C’est peut-être un programme _antivirus_ installé sur le système windows qui provoque l’apparition de ce message. Je n’utilise pas windows ni les programme _antivirus_ qu’il utilise, mais j’imagine que ces programmes _antivirus_ interceptent et analysent les connexions https ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Mai 13, 2022, 10:04 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/5 "2022-05-13T10:04:56Z")
> [@anon29980398](#): > > C’est peut-être un programme _antivirus_ installé sur le système windows > qui provoque l’apparition de ce message. normalement c’est indiqué quand c’est l’antivirus. ---
**Author:** ![anon29980398](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/f4b2a3/32.png) [@anon29980398](https://www.debian-fr.org/u/anon29980398)\ **Post date:** [Mai 13, 2022, 12:16 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/6 "2022-05-13T12:16:15Z")
Peut être … [support.mozilla.org → Comment régler les codes d’erreur de sécurité sur les sites web sécurisés](https://support.mozilla.org/fr/kb/comment-regler-codes-erreur-securite-sur-sites-securises) ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Mai 13, 2022, 12:53 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/7 "2022-05-13T12:53:35Z")
> [@Zargos](#): > > savez-vous pourquoi ça ne marche pas sur Firefox Windows (v 100.0) alors que ça marche sur Firefox-ESR Debian (v 91.9.0esr )? serait-ce lié à la différence de version? C’est peut-être la vérification du répondeur [OCSP](https://fr.wikipedia.org/wiki/Online_Certificate_Status_Protocol) (Online Certificate Status Protocol) pour confirmer la validité de vos certificats 😕 q’uil faut désactivé - si on a des certificats personnels - FF : Vie privé \> Sécurité > Online Certificate Status Protocol est un protocole Internet utilisé pour valider un certificat numérique X.509. OCSP est standardisé par l’IETF dans la RFC 6960. Ce protocole est une alternative réglant certains des problèmes posés par les listes de révocation de certificats dans une infrastructure à clés publiques. > [@Zargos](#): > > créé 3 des certificats CA intermédiaire. J’ai toujours voulu faire çà - en plus de mon AC 😉 Romain ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Mai 13, 2022, 1:00 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/8 "2022-05-13T13:00:25Z")
> [@anon36725218](#): > > C’est peut-être la vérification du répondeur [OCSP](https://fr.wikipedia.org/wiki/Online_Certificate_Status_Protocol) (Online Certificate Status Protocol) J’avais ce problème au début partout, j’ai effectivement désactivé cette option. > [@anon36725218](#): > > J’ai toujours voulu faire çà - en plus de mon AC 😉 ben en fait, c’est même une bonne pratique. Ça permet d’éviter d’exposer le Root CA. En tout cas, je pense que c’est lié à la version de de firefox, et en particulier au fait que Mozilla veut faire en sorte que des certificat auto-signés ne puissent plus être utilisés. ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Mai 13, 2022, 1:05 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/9 "2022-05-13T13:05:19Z")
J’avais lu des articles sur "comment faire pour que les navigateurs Web certifient mon AC (sans erreur : si date valide et le nom de domaine) et cela sans ajouter l’AC (Authoritée de Certification et Authoritée tierce à tous les navigateurs du monde - çà doit être payant en plus) je ne sais plus où. Et je crois que c’était la solution : [OCSP](https://fr.wikipedia.org/wiki/Online_Certificate_Status_Protocol) (Online Certificate Status Protocol) - sans en être sûr. > OCSP permet de centraliser cette tâche au sein d’une PKI. Afin de valider un certificat, le client n’a plus à communiquer qu’avec une seule entité : le répondeur OCSP. On peut parler aussi d’autorité de validation (VA pour _Validation Authorithy_ ). Stéphane Bortzmeyer nous explique la [RFC 6960](http://www.rfc-editor.org/info/rfc6960): [X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP](https://www.bortzmeyer.org/6960.html). Alternative à OCSP : [RFC 5055 - Server-Based Certificate Validation Protocol (SCVP) ](https://datatracker.ietf.org/doc/html/rfc5055) [RFC 5276 - Using the Server-Based Certificate Validation Protocol (SCVP) to Convey Long-Term Evidence Records](https://www.rfc-editor.org/rfc/rfc5276.html) 😕 Cordialement, Romain ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Mai 13, 2022, 1:16 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/10 "2022-05-13T13:16:10Z")
> [@Zargos](#): > > ben en fait, c’est même une bonne pratique. Ça permet d’éviter d’exposer le Root CA. Oui. > [@Zargos](#): > > En tout cas, je pense que c’est lié à la version de de firefox, et en particulier au fait que Mozilla veut faire en sorte que des certificat auto-signés ne puissent plus être utilisés. Personellement, je signe mes demande de certifcats avec l’AC - Il ne sont plus considérer comme auto-signé. Par exemple le certificat du site Web sur [https://howto.zw3b.fr](https://howto.zw3b.fr) n’est pas auto-signé - il est signé par l’AC LAB3W - mais qui n’est pas inclue aux navigateurs Web de la planète - Il faut ajouter soi-même l’AC LAB3W si tu veut sécuriser la connexion client-serveur entre toi et mes sites Web, seulement les miens 😉 Mon Autorité de Certification (en passant) « [LAB3W Root Certificats : http://www.lab3w.fr/pub/lab3w-cacert.crt](https://www.zw3b.fr/pub/lab3w-cacert.crt) ». Je génère mes certifs depuis une machine (l’AC) non connecté au réseau internet - et la liste des révocations etc.. et c’est tout… par contre je suis complétement new-bee dirais-je dans ce domaine. Je fais cela pour sécuriser ma connexion entre mon client (navigateur Web) et mon serveur Web pour que personne ne puisse intercepter la tram (mot de passe de connexion) - style le stagiare du FAI .. ou le techos de la borne 😉 ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Mai 13, 2022, 1:25 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/11 "2022-05-13T13:25:05Z")
> [@anon36725218](#): > > Personellement, je signe mes demande de certifcats avec l’AC - Il ne sont plus considérer comme auto-signé. C’est exactement ce que je fais. Cependant, dans Firefox 100.0 sur Windows, il me dit que l’autorité signataire n’est pas reconnue, alors que la version ESR 91.9 ne pose pas de problème Donc je pense qu’il doit y avoir un truc dans firefox 100.0 qui doit imposer ça. je crois que j’ai vu quelque chose sur le sujet récemment, mais je ne sais plus où. il doit surement exister une entrée dans about:config, mais pas facile de trouver ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Mai 13, 2022, 1:40 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/12 "2022-05-13T13:40:22Z")
> [@Zargos](#): > > Firefox 100.0 sur Windows Essaies la 102.0a1 (2022-05-12) ^^ FF Nightly 😉 La version de FF version développeur FireFox ^^ qu’il faut relancer le navigateur tous les jours 🙂 Je le met à jour… 1 seconde 🙂 102.0a1 (2022-05-13) 🙂 CF mon AC dans FF : [![FF-Certificat](https://www.debian-fr.org/uploads/default/original/2X/1/13efdc02c101dc6c26a6935bb6442a0dc31a34c6.jpeg)](https://www.debian-fr.org/uploads/default/original/2X/1/13efdc02c101dc6c26a6935bb6442a0dc31a34c6.jpeg) ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Mai 13, 2022, 3:42 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/13 "2022-05-13T15:42:02Z")
> [@anon36725218](#): > > CF mon AC dans FF : et ton AC est auto signée? Cool, je vais regarder tout ça de plus près. ---
**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\ **Post date:** [Mai 15, 2022, 4:18 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/14 "2022-05-15T16:18:34Z")
> [@Zargos](#): > > AC est auto signée oui 🙂 - Bon courage pour son PKI @Zargos ! ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Mai 20, 2022, 10:56 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/15 "2022-05-20T10:56:25Z")
merci 🙂 j’ai fait le test sur une VM sous Debian SID, avec firefox-esr et firefox. dans les deux cas, tout a bien fonctionné. C’est donc un problème spécifique à la version Windows. Donc je pense que je vais sauvegarder mes bookmarks et ma config (pour le cas où) et je vais complètement désinstaller firefox avec effacement des fichiers conservés pour être sur quelque chose de propre Cependant sous SID c’est Firefox 10.0 du 3 mai 2022, et sous windows c’est Firefox 100.0.1 du 16 mai 2022. mais comme le problème est antérieur au 16 mai, la question ne se pose pas. j’ai créé une entrée dans bugzilla. ---
**Author:** ![anon29980398](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/f4b2a3/32.png) [@anon29980398](https://www.debian-fr.org/u/anon29980398)\ **Post date:** [Mai 20, 2022, 9:41 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/16 "2022-05-20T21:41:12Z")
Bonjour Un lien au sujet de l’hypothèse d’un problème dû à un antivirus Windows (et autres…) > [@](#): > > … Cet article explique pourquoi les codes d’erreur SEC\_ERROR\_UNKNOWN\_ISSUER, … [mozilla.org → Comment régler les codes d’erreur de sécurité sur les sites web sécurisés](https://support.mozilla.org/fr/kb/comment-regler-codes-erreur-securite-sur-sites-securises) ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Mai 21, 2022, 12:31 UTC](https://www.debian-fr.org/t/probleme-de-certificats-site-web-interne/86528/17 "2022-05-21T12:31:13Z")
C’est en effet l’inspection HTTPS de mon antivirus qui pose le problème, avec une incapacité à traiter des listes d’exclusion. Le genre d’option mal faire finalement. J’annule mon bugzilla et je remonte ça à ESEt pour leur dire que c’est pas top en terme de réalisation comme option.