Quel est le problème avec ma chaîne de confiance SSL?

Le certificat SSL pour mon site, https://www.snipsalonsoftware.com/ , ne fonctionne pas sur Android. Pour résoudre ce problème, j'ai connecté mon site à l'outil de test Qualys SSL Labs:

https://www.ssllabs.com/ssltest/analyze.html?d=www.snipsalonsoftware.com&s=50.57.181.104

Ce rapport semble me dire que j'ai des "problèmes de chaîne". Quelque chose est "incomplet". Mais j'ai du mal à comprendre exactement ce qui est incomplet.

Dans la section suivante, sous "Chemins de certification", je vois en orange (et je suppose que l'orange signifie "un peu mauvais") "Téléchargement supplémentaire". Je n'ai aucune idée de ce que cela signifie ou comment y remédier. J'ai trouvé ce fil , mais je ne peux pas dire comment traduire ce qu'ils disent en une solution pour moi.

Que devrais-je faire?

Vous avez configuré votre serveur pour envoyer uniquement le certificat aux navigateurs. Pour la plupart des navigateurs de bureau, cela ne pose pas de problème car ils contiennent déjà beaucoup de détails de l'AC intermédiaire et racine, afin qu'ils puissent facilement construire la chaîne de confiance. Pour la plupart des navigateurs mobiles, vous devez généralement fournir l'ensemble de la chaîne de certificats, c'est-à-dire votre propre certificat, celui de l'autorité de certification émettrice et tout intermédiaire pouvant exister entre celle-ci et l'autorité de certification racine ultime. L'appareil mobile n'aura probablement les détails de l'autorité de certification racine que dans ce scénario.

Pour votre certificat spécifique, vous pouvez lire cet article du service d'assistance Comodo: Base de connaissances: Autorité de certification Comodo> Certificats> SSL> Installation de certificats

Un certificat peut contenir une extension d' accès aux informations d'autorité spéciale ( RFC-3280 ) avec l'URL du certificat de l'émetteur. La plupart des navigateurs peuvent utiliser l'extension AIA pour télécharger le certificat intermédiaire manquant pour compléter la chaîne de certificats. Mais certains clients (navigateurs mobiles, OpenSSL) ne prennent pas en charge cette extension, ils signalent donc ce certificat comme non fiable.

Vous pouvez résoudre manuellement le problème de la chaîne de certificats incomplète en concaténant tous les certificats du certificat au certificat racine approuvé (exclusif, dans cet ordre), pour éviter de tels problèmes. Remarque, le certificat racine approuvé ne doit pas être présent, car il est déjà inclus dans le magasin de certificats racine du système.

Vous devriez pouvoir récupérer des certificats intermédiaires auprès de l'émetteur et les concaténer vous-même. J'ai écrit un script pour automatiser la procédure, il boucle sur l'extension AIA pour produire une sortie de certificats correctement chaînés. https://github.com/zakjan/cert-chain-resolver