GlobalSign och AlphaSSL korssignering på Windows Server

GlobalSign flyttade alla kund- och partnerprodukter den 27 juli 2026 och de återstående kontona den 13 september 2026. Utfärdning från R3 med 200 dagars giltighet upphörde senast 27 augusti 2026. Är ditt certifikat utfärdat innan ert konto flyttades kedjar det fortfarande upp till R3, R5 eller R6, och då behöver du inte göra något förrän nästa förnyelse.

Om servern skickar den korta kedjan till R46 misslyckas dessa klienter:

• iOS före 15 och macOS före 12. R46 kom in i Apples lista i september 2021.
• Android 13 och äldre. R46 kom in i AOSP med Android 14 i oktober 2023.
• Java-installationer som inte fått uppdateringen från juli 2024 (8u421, 11.0.24, 17.0.12, 21.0.4).
• Windows-maskiner utan utgående internetåtkomst som inte kan hämta nya rötter från Windows Update.
• Inbyggd utrustning, betalterminaler, skrivare och industriell utrustning med ett fast certifikatlager.

På Linux lägger du bara det korssignerade certifikatet i kedjefilen efter det mellanliggande certifikatet och laddar om webbservern. Resten av guiden handlar om Windows, där Schannel bygger kedjan själv.

1. Öppna maskinens certifikatlager

Kör certlm.msc från en kommandotolk startad som administratör. Alternativt: Win+R, mmc, File → Add/Remove Snap-in, välj Certificates, Computer account, Local computer. Maskinlagret är det avgörande. Certifikat i användarlagret ingår inte i den kedja servern skickar.

2. Importera det utfärdande mellanliggande certifikatet

1. Expandera Intermediate Certification Authorities och klicka på undermappen Certificates.
2. Högerklicka → All Tasks → Import.
3. Välj GCC-filen. Byt filtyp till All Files (*.*) om filen inte syns.
4. Bekräfta att lagret är Intermediate Certification Authorities → Finish.

3. Importera det korssignerade certifikatet

Upprepa steg 2 med r3r46cross2019.crt. Filen ska ligga i Intermediate Certification Authorities, inte i Trusted Root. Tekniskt sett är den ett mellanliggande certifikat, eftersom den är signerad av någon annan.

Kontrollera sedan att GlobalSign Root CA - R3 ligger i Trusted Root Certification Authorities. Utan den gamla roten kan servern inte bygga den långa kedjan. Roten finns i alla Windows-versioner som fortfarande underhålls.

4. Sätt GlobalSign Root R46 i karantän

Så länge GlobalSign Root R46 är aktiv i Trusted Root bygger Schannel den korta kedjan och skickar den. Det korssignerade certifikatet ligger då oanvänt i Intermediate-lagret.

5. Exportera PFX med kedja och bind om

Vissa tjänster håller kvar den kedja som låg i den PFX-fil certifikatet importerades från. Exportera certifikatet igen med hela kedjan och bind det till tjänsten på nytt.

$pw = Read-Host -AsSecureString "PFX-losenord"
Export-PfxCertificate -Cert Cert:\LocalMachine\My\<THUMBPRINT> `
  -FilePath C:\temp\server-med-kedja.pfx -Password $pw -ChainOption BuildChain

-ChainOption BuildChain bygger kedjan utifrån maskinens lager, alltså efter att roten satts i karantän. Importera PFX-filen igen och bind den till den tjänst som använder certifikatet.

6. Starta om

Kedjedata cachas i processen som byggde kedjan, och i lsass och HTTP.SYS. En fullständig omstart av Windows är det enda sättet att tömma allt. Att starta om den enskilda rollen når inte Schannels kedjecache, så tjänsten kan svara med den gamla kedjan efteråt och se ut som om ändringen inte fungerade. Planera ett omstartsfönster.

Chrome och Mozilla tar bort tilliten till GlobalSign Root CA - R3 den 15 april 2027, och till R5 den 15 april 2029. Själva korssigneringen är giltig längre, men efter borttagningen ger den ingenting i en uppdaterad webbläsare. Den hjälper bara de klienter som inte får uppdateringar och som just därför fortfarande har R3.

Behandla konfigurationen som en övergångslösning. Notera vilka klienter som kräver den och planera bytet av dem. Kan du bekräfta att ingen av era klienter är äldre än oktober 2023 kan du ta bort karantänen och låta kedjan vara kort.