Sectigo cross-sign på Windows Server

Sectigo flyttede udstedelsen til R46 og E46 efter valideringsniveau: EV den 15. april 2025, OV den 15. maj 2025 og DV den 2. juni 2025. Certifikater udstedt før den dato, der gælder for dit produkt, kæder stadig op til USERTrust RSA, og du skal ikke gøre noget.

Sender serveren den korte kæde til R46, fejler disse klienter:

• iOS og iPadOS før 17.4 og macOS før 14.4. Roden kom først i Apples liste i marts 2024, så en iPhone X, der ikke kan opdateres videre, får den aldrig.
• Android 13 og ældre. Roden kom i AOSP med Android 15, og på Android 14 via Mainline-opdateringen af Conscrypt.
• Java-installationer, der ikke har fået opdateringen fra juli 2025 (8u461, 11.0.28, 17.0.16, 21.0.8).
• Windows-maskiner uden udgående internetadgang, der ikke kan hente nye rødder fra Windows Update.
• Embedded udstyr, betalingsterminaler, printere og industrielt udstyr med et fast certifikatlager.

På Linux tilføjer du blot det cross-signede certifikat til kædefilen efter intermediate og genindlæser webserveren. Resten af vejledningen handler om Windows, hvor Schannel selv bygger kæden.

1. Åbn certifikatlageret for maskinen

Kør certlm.msc fra en kommandolinje startet som administrator. Alternativt: Win+R, mmc, File → Add/Remove Snap-in, vælg Certificates, Computer account, Local computer. Maskinlageret er det afgørende. Certifikater i brugerlageret indgår ikke i den kæde, serveren sender.

2. Importér det udstedende intermediate

1. Udvid Intermediate Certification Authorities og klik på undermappen Certificates.
2. Højreklik → All Tasks → Import.
3. Vælg R36-filen. Skift filtypen til All Files (*.*), hvis filen ikke vises.
4. Bekræft at lageret er Intermediate Certification Authorities → Finish.

3. Importér cross-cert-filen

Gentag trin 2 med SectigoPublicServerAuthenticationRootR46_USERTrust.crt. Filen skal ligge i Intermediate Certification Authorities, ikke i Trusted Root. Den er teknisk set et intermediate, fordi den er signeret af en anden.

Kontrollér bagefter, at USERTrust RSA Certification Authority ligger i Trusted Root Certification Authorities. Uden den gamle rod kan serveren ikke bygge den lange kæde. Roden er med i alle vedligeholdte Windows-versioner.

4. Sæt Sectigos nye CA-rod i karantæne

Så længe Sectigo Public Server Authentication Root R46 er aktiv i Trusted Root, bygger Schannel den korte kæde og sender den. Cross-cert-filen ligger så ubrugt i Intermediate-lageret.

5. Eksportér PFX med kæde og bind om

Nogle tjenester holder fast i den kæde, der lå i den PFX-fil, certifikatet blev importeret fra. Eksportér certifikatet igen med hele kæden og bind det til tjenesten på ny.

$pw = Read-Host -AsSecureString "PFX-adgangskode"
Export-PfxCertificate -Cert Cert:\LocalMachine\My\<THUMBPRINT> `
  -FilePath C:\temp\server-med-kaede.pfx -Password $pw -ChainOption BuildChain

-ChainOption BuildChain bygger kæden ud fra maskinens lagre, altså efter at roden er sat i karantæne. Importér PFX-filen igen og bind den til den tjeneste, der bruger certifikatet.

6. Genstart

Kædedata caches i den proces, der byggede kæden, og i lsass og HTTP.SYS. En fuld genstart af Windows er den eneste måde at tømme det hele. At genstarte den enkelte rolle rammer ikke Schannels kæde-cache, så tjenesten kan svare med den gamle kæde bagefter og se ud, som om ændringen ikke virkede. Planlæg et genstartsvindue.

Kør Sectigos IISFix-MoveSectigoSelfSignedRoots-Restore.reg, eller fjern roden fra Untrusted Certificates og sæt den tilbage til Enable all purposes i Trusted Root. Genstart serveren. Cross-cert-filen kan blive liggende i Intermediate-lageret, for Schannel vælger igen den korte kæde, så snart roden er aktiv.