Sectigo-korssignering på Windows Server

Sectigo flyttade utfärdandet till R46 och E46 per valideringsnivå: EV den 15 april 2025, OV den 15 maj 2025 och DV den 2 juni 2025. Certifikat utfärdade före det datum som gäller din produkt har fortfarande en kedja upp till USERTrust RSA, och då behöver du inte göra något.

Om servern skickar den korta kedjan till R46 misslyckas dessa klienter:

• iOS och iPadOS före 17.4 samt macOS före 14.4. Roten kom in i Apples lista i mars 2024, så en iPhone X som inte kan uppdateras vidare får den aldrig.
• Android 13 och äldre. Roten kom in i AOSP med Android 15, och på Android 14 via Mainline-uppdateringen av Conscrypt.
• Java-installationer som inte fått uppdateringen från juli 2025 (8u461, 11.0.28, 17.0.16, 21.0.8).
• Windows-maskiner utan utgående internetåtkomst som inte kan hämta nya rötter från Windows Update.
• Inbyggd utrustning, betalterminaler, skrivare och industriell utrustning med ett fast certifikatlager.

På Linux lägger du bara det korssignerade certifikatet i kedjefilen efter det mellanliggande certifikatet och laddar om webbservern. Resten av guiden handlar om Windows, där Schannel bygger kedjan själv.

1. Öppna maskinens certifikatlager

Kör certlm.msc från en kommandotolk startad som administratör. Alternativt: Win+R, mmc, File → Add/Remove Snap-in, välj Certificates, Computer account, Local computer. Det är maskinlagret som gäller. Certifikat i användarlagret ingår inte i den kedja servern skickar.

2. Importera det utfärdande mellanliggande certifikatet

1. Expandera Intermediate Certification Authorities och klicka på undermappen Certificates.
2. Högerklicka → All Tasks → Import.
3. Välj R36-filen. Byt filtyp till All Files (*.*) om filen inte syns.
4. Bekräfta att lagret är Intermediate Certification Authorities → Finish.

3. Importera det korssignerade certifikatet

Upprepa steg 2 med SectigoPublicServerAuthenticationRootR46_USERTrust.crt. Filen ska ligga i Intermediate Certification Authorities, inte i Trusted Root. Tekniskt sett är den ett mellanliggande certifikat, eftersom den är signerad av någon annan.

Kontrollera sedan att USERTrust RSA Certification Authority ligger i Trusted Root Certification Authorities. Utan den gamla roten kan servern inte bygga den långa kedjan. Roten finns i alla Windows-versioner som fortfarande underhålls.

4. Sätt Sectigos nya rot i karantän

Så länge Sectigo Public Server Authentication Root R46 är aktiv i Trusted Root bygger Schannel den korta kedjan och skickar den. Det korssignerade certifikatet ligger då oanvänt i Intermediate-lagret.

5. Exportera PFX med kedja och bind om

Vissa tjänster håller kvar den kedja som låg i den PFX-fil certifikatet importerades från. Exportera certifikatet igen med hela kedjan och bind det till tjänsten på nytt.

$pw = Read-Host -AsSecureString "PFX-losenord"
Export-PfxCertificate -Cert Cert:\LocalMachine\My\<THUMBPRINT> `
  -FilePath C:\temp\server-med-kedja.pfx -Password $pw -ChainOption BuildChain

-ChainOption BuildChain bygger kedjan utifrån maskinens lager, alltså efter att roten satts i karantän. Importera PFX-filen igen och bind den till den tjänst som använder certifikatet.

6. Starta om

Kedjedata cachas i processen som byggde kedjan, och i lsass och HTTP.SYS. En fullständig omstart av Windows är det enda sättet att tömma allt. Att starta om den enskilda rollen når inte Schannels kedjecache, så tjänsten kan svara med den gamla kedjan efteråt och se ut som om ändringen inte fungerade. Planera ett omstartsfönster.

Kör Sectigos IISFix-MoveSectigoSelfSignedRoots-Restore.reg, eller ta bort roten från Untrusted Certificates och sätt tillbaka den till Enable all purposes i Trusted Root. Starta om servern. Det korssignerade certifikatet kan ligga kvar i Intermediate-lagret, eftersom Schannel väljer den korta kedjan igen så snart roten är aktiv.