Tracer les échecs de proxy lors des vérifications de certificats CRL et OCSP
Tracez la récupération CRL ou OCSP sous le compte du vérificateur lorsque l'application atteint son proxy mais que la validation du certificat ne peut pas aboutir.
Une requête vers un site web peut atteindre son proxy et échouer malgré tout, car la vérification du certificat nécessite une autre requête réseau. La récupération CRL ou OCSP peut passer par un composant de la plateforme dont le compte et la stratégie de proxy diffèrent de ceux du client HTTP de l'application.
Commencez par l'erreur de chaîne exacte. Révoqué signifie autre chose que impossible d'obtenir les informations de révocation actuelles. L'expiration et un émetteur non approuvé sont encore d'autres problèmes. Seul l'échec de récupération impose de tracer un itinéraire manquant vers une URL d'état.
Pour cet échec, identifiez trois éléments ensemble : l'URL récupérée, le composant qui effectue la récupération et l'identité de son processus. Qu'un navigateur ouvre l'URL avec succès sous votre compte interactif ne prouve pas qu'un service puisse s'authentifier sur le même proxy.
Si le composant identifié utilise WinHTTP, examinez la stratégie qui s'y applique. La configuration statique du proxy et l'évaluation automatique du proxy par URL sont des mécanismes distincts. Appliquez la configuration prise en charge pour le compte prévu ; copier les paramètres du navigateur ou modifier un environnement d'exécution sans rapport peut laisser la récupération réelle intacte.
Dans .NET, UrlRetrievalTimeout sur la stratégie de chaîne contrôle une attente pour la vérification en ligne ou la récupération CRL. Prolonger le délai d'attente HTTP ordinaire ne prolonge pas ce même minuteur, et prolonger le minuteur de récupération ne fournit ni identifiants de proxy ni itinéraire.
Un proxy HTTPS peut rendre cette dépendance visible avant même le TLS de destination : la confiance dans la connexion au proxy peut elle-même nécessiter une récupération d'informations de révocation. Rétablissez l'accès de récupération pris en charge et l'arrangement de confiance à ce stade. Désactiver la vérification de révocation modifie la stratégie de certificat ; cela ne rétablit pas la récupération échouée.