Lorsque votre navigateur se connecte à un site web en HTTPS, il n'accepte pas le certificat numérique du serveur sans vérification. Il suit au contraire une chaîne de signatures, du certificat présent sur le serveur, en passant par un ou plusieurs certificats intermédiaires, jusqu'à un certificat racine déjà intégré au magasin de confiance du navigateur. Si chaque maillon de cette chaîne est valide, la connexion est approuvée. Si un seul maillon est rompu, la connexion échoue.
Ce mécanisme, la chaîne de certificats (ou chaîne de confiance), est ce qui rend la PKI évolutive. Une poignée d'autorités racines peuvent attester de milliers d'autorités intermédiaires, qui peuvent à leur tour émettre des millions de certificats finaux. Aucune autorité unique n'a besoin de signer chaque certificat dans le monde. La confiance est déléguée, organisée en couches et vérifiable à chaque étape.
Comprendre le fonctionnement des chaînes n'est pas qu'un sujet académique. Les chaînes mal configurées comptent parmi les causes les plus fréquentes des erreurs TLS, des interruptions liées aux certificats et des intégrations défaillantes. Si vous avez déjà vu un avertissement de navigateur indiquant que « le certificat n'est pas approuvé » (alors même que le certificat lui-même est valide), le problème provenait presque certainement d'une chaîne rompue.
