NET::ERR_CERT_AUTHORITY_INVALID (Certificat non approuvé)

Ce que signifie cette erreur et comment la reconnaître

• Chrome ou un autre navigateur basé sur Chromium affiche NET::ERR_CERT_AUTHORITY_INVALID au lieu de charger normalement la page HTTPS.
• Le navigateur identifie la connexion ou le certificat comme non approuvé et peut afficher un écran d’avertissement avec des options avancées.
• Les détails du certificat indiquent un émetteur inconnu, un certificat auto-signé ou un chemin de certification incorrect ou incomplet.
• L’erreur affecte un seul site web alors que les autres sites HTTPS fonctionnent, ou elle affecte de nombreux sites lorsqu’un logiciel de sécurité local ou un proxy réseau est impliqué.
• Le nom du site peut sembler correct même si le certificat n’est pas approuvé, ce qui distingue cette erreur d’un avertissement de discordance de nom d’hôte.

Causes principales, classées par probabilité

1. Certificat auto-signé ou émis par une autorité privée : Le certificat du site web n’a pas été émis par une autorité de certification approuvée par le navigateur ou le système d’exploitation. Cela peut être intentionnel sur un site interne de développement, mais c’est inattendu pour la plupart des sites web publics.
2. Certificat intermédiaire manquant : Le serveur envoie son certificat feuille sans le certificat intermédiaire nécessaire pour le relier à une racine approuvée. Certains clients peuvent avoir mis en cache le certificat manquant, tandis que d’autres rejettent la chaîne.
3. Inspection HTTPS par une entreprise, une école, un hôtel ou un autre réseau : Un proxy ou un équipement de sécurité peut remplacer le certificat du site web par un certificat émis par une autorité organisationnelle locale. L’avertissement apparaît lorsque cette autorité est absente, endommagée, inattendue ou mal déployée.
4. Analyse HTTPS par un antivirus ou un logiciel de sécurité des terminaux : Un logiciel de sécurité peut inspecter le trafic chiffré et émettre des certificats locaux. Une installation endommagée ou un certificat local non approuvé peut provoquer l’avertissement.
5. Date, heure ou fuseau horaire incorrect : Une horloge incorrecte sur l’appareil peut rendre les dates de validité des certificats incorrectes et perturber la validation.
6. Magasin de certificats obsolète ou endommagé : Le système d’exploitation ou le navigateur peut ne pas disposer d’un certificat racine approuvé requis, ou sa base de certificats peut être obsolète ou corrompue.
7. Portail captif ou interférence du réseau : Un réseau public peut rediriger le trafic vers une page de connexion ou perturber de toute autre manière la connexion HTTPS attendue.

Comment corriger le problème

1. Ne contournez pas encore l’avertissement

N’entrez pas de mots de passe, de données de paiement ou d’autres informations sensibles sur une page affichant cette erreur. Évitez de continuer si le site vous est inconnu ou si l’avertissement apparaît sur un service sensible. Contourner l’avertissement peut masquer une interception ou un certificat mal configuré.

2. Déterminez si le problème est isolé

• Ouvrez plusieurs autres sites HTTPS connus.
• Testez le site affecté dans une fenêtre privée ou avec un autre navigateur.
• Si un seul site échoue, son certificat ou la chaîne fournie par son serveur est probablement en cause.
• Si de nombreux sites échouent uniquement sur un même réseau, recherchez un proxy, une inspection HTTPS, un filtrage antivirus ou un portail captif.
• Si le même site échoue sur différents appareils et réseaux, signalez le problème à son propriétaire au lieu de modifier à répétition les paramètres de sécurité locaux.

3. Inspectez les détails du certificat

Ouvrez le panneau des certificats ou des détails de connexion du navigateur sur la page d’avertissement. Notez :

• le sujet du certificat et la couverture du nom d’hôte ;
• l’émetteur ;
• les dates de début et d’expiration de la validité ;
• si le chemin de certification est incorrect ou incomplet ;
• si l’émetteur semble appartenir à une entreprise, une école, un produit antivirus ou un proxy local.

Un nom d’hôte correspondant ne prouve pas que le certificat est approuvé. Si l’émetteur est inconnu, émis par une autorité privée ou inattendu, ne l’installez pas simplement pour supprimer l’avertissement.

4. Vérifiez l’horloge de l’appareil

Vérifiez la date, l’heure et le fuseau horaire de l’appareil. Activez les paramètres automatiques de date et d’heure lorsque cela est approprié, puis fermez et rouvrez le navigateur avant de tester à nouveau. Ne modifiez pas volontairement l’horloge pour forcer un certificat à apparaître comme valide.

5. Recherchez un portail captif

Sur un réseau public, ouvrez un site web non sensible et terminez la connexion normale au réseau ou acceptez sa page de conditions si elle s’affiche. Reconnectez-vous ensuite au site HTTPS. Ne saisissez jamais d’identifiants sur une page d’avertissement de certificat simplement pour terminer la connexion au réseau ; utilisez le parcours normal du portail ou demandez de l’aide à son opérateur.

6. Examinez le proxy et les logiciels de sécurité

Si l’émetteur du certificat mentionne un proxy d’entreprise, un réseau scolaire, un produit antivirus ou un outil de sécurité des terminaux :

• confirmez que l’inspection HTTPS est attendue sur ce réseau ;
• demandez à l’administrateur si le certificat racine de l’organisation doit être installé via son processus approuvé de gestion des appareils ;
• mettez à jour ou réparez le logiciel de sécurité s’il s’agit de votre propre logiciel ;
• testez depuis un réseau de confiance uniquement lorsque la politique de votre organisation l’autorise.

Ne téléchargez pas de certificat racine depuis un site web non vérifié. L’installation d’un certificat racine donne à son détenteur une large capacité à faire apparaître des certificats comme approuvés.

7. Si vous gérez le site web, corrigez la chaîne de certificats

Vérifiez que le certificat :

• couvre le nom d’hôte demandé ;
• se trouve dans sa période de validité ;
• est émis par une autorité approuvée par les clients visés ; et
• est accompagné par le ou les certificats intermédiaires requis envoyés par le serveur.

Configurez le serveur pour qu’il envoie la chaîne complète au lieu de compter sur chaque client pour trouver les certificats intermédiaires manquants. Effectuez un nouveau test après le déploiement depuis plusieurs navigateurs, appareils et réseaux. Un site web public ne doit pas utiliser de certificat auto-signé ou privé, sauf si tous les clients visés sont délibérément configurés pour approuver son autorité émettrice.

8. Actualisez les logiciels locaux uniquement si les indices désignent l’appareil

Installez les mises à jour en attente du système d’exploitation et du navigateur via leurs mécanismes de mise à jour habituels. Si un seul navigateur est affecté, vérifiez ses paramètres de proxy et de certificats et testez avec un profil vierge. Si un seul appareil est affecté, demandez à son administrateur d’examiner le magasin de certificats local et les logiciels de sécurité. Évitez de supprimer des certificats ou de désactiver la validation des certificats sans savoir quelle application ou quelle organisation les a installés.

Prévention et vérification du correctif

• Maintenez à jour le système d’exploitation, le navigateur et les logiciels de sécurité des terminaux.
• Utilisez les paramètres automatiques de date, d’heure et de fuseau horaire lorsque cela est approprié.
• Installez les certificats racine gérés par l’organisation uniquement via un administrateur ou un processus de gestion des appareils approuvé.
• Considérez les avertissements de certificat inattendus sur les réseaux publics comme des signaux de sécurité, et non comme de simples invites à contourner.
• Les administrateurs de sites web doivent déployer un certificat correspondant au nom d’hôte et envoyer la chaîne intermédiaire complète requise.
• Évitez de télécharger des fichiers de certificats ou de désactiver les vérifications HTTPS en suivant des instructions non officielles.

Questions fréquentes