Résoudre " ; 515 Certificat en amont non approuvé" ; Erreur sur Umbrella SWG

Introduction

Ce document décrit les causes et la résolution de l'erreur « 515 Upstream Certificate Untrusted » sur Secure Web Gateway (SWG).

Description d'erreur

Lorsque vous accédez à un site Web HTTPS via la passerelle Web sécurisée Umbrella, cette erreur peut apparaître :

"515 Upstream Certificate Untrusted"

360069883331

Cette erreur indique que la validation du certificat du site Web n'est pas possible.

Motif

Umbrella valide les certificats numériques présentés par les sites Web pour confirmer l'authenticité du serveur et vérifier qu'une autorité de confiance a émis le certificat.

Les problèmes de certificat peuvent résulter de plusieurs scénarios. Lorsque cette erreur apparaît, le même site Web devient généralement inaccessible ou affiche une page d'avertissement ou d'erreur dans un navigateur Web normal sans Umbrella SWG. Pour des raisons de sécurité, la passerelle Web sécurisée ne permet pas aux utilisateurs finaux de contourner les erreurs de certificat.

Raisons courantes de l'erreur

• Certificat non émis par une autorité racine de confiance
  Umbrella tient à jour une liste des autorités de certification racine qui peuvent identifier les sites Web. Le certificat doit être signé par l'une de ces autorités. Umbrella obtient cette liste à partir d'une source commune utilisée par les principaux navigateurs Web. Si vous déterminez que SWG ne fait pas confiance à une autorité de certification légitime, contactez le support Umbrella.
  
  

• Le nom d'hôte du certificat ne correspond pas à l'URL cible
  Le nom d'hôte spécifié dans le certificat doit correspondre à l'URL à laquelle l'utilisateur accède (par exemple, l'URL saisie dans la barre d'adresse). Si le nom d'hôte ne correspond pas, le certificat n'est pas valide.
  
  

• Certificat expiré
  Le certificat du site Web a dépassé sa date d'expiration.
  
  

• Certificat révoqué
  Le certificat du site Web a été révoqué par l'autorité de certification racine, peut-être en raison d'une utilisation frauduleuse.
  
  

• Chaîne CA intermédiaire non présentée par le site Web
  Les sites Web doivent fournir une chaîne complète de certificats, y compris toutes les autorités de certification intermédiaires, pour permettre la vérification jusqu'à une autorité de certification racine. Si cette chaîne est manquante, Umbrella ne peut pas valider le certificat. Certains certificats utilisent l'extension d'accès aux informations d'autorité (RFC4325) pour permettre aux clients de trouver automatiquement des certificats intermédiaires. Umbrella prend en charge cette fonctionnalité, mais pas dans toutes les configurations. Vous devez activer l'inspection de fichier Umbrella pour cette fonctionnalité.
  
  

• Caractères non valides dans le nom d'hôte
  SWG ne peut pas valider les certificats si le nom d'hôte contient des caractères non valides. Les caractères valides dans un nom d'hôte Internet sont les caractères alphabétiques (A-Z), les chiffres (0-9), les signes moins (-) et les points (.), tels que définis dans les documents RFC952 et RFC1123. Certains navigateurs autorisent d'autres caractères, mais SWG ne les prend pas en charge.

Résolution

Umbrella Secure Web Gateway prend en charge les configurations de gestion des erreurs de certificat. Pour plus d'informations et d'instructions pour implémenter cette fonctionnalité, référez-vous à la documentation Enable Certificate Error Handling.