J’ai récemment rencontré un problème lié à cert_exists() lors de l’investigation du réutilisation des certificats Let’s Encrypt.
Dans mon cas, les fichiers de certificats et les deux répertoires RSA/ECDSA étaient présents, mais la vérification actuelle renvoyait toujours false car openssl x509 -in ca.cer ne conserve que le premier certificat du bundle d’émetteur.
L’utilisation de :
openssl verify -untrusted ca.cer fullchain.cer
a corrigé la vérification. J’ai également testé avec de vrais certificats RSA et ECDSA et effectué une reconstruction qui a réutilisé les deux certificats existants sans déclencher de réémission forcée.
Il ne s’agit peut-être pas de la même cause racine que le répertoire _ecc manquant décrit dans ce sujet, mais cela affecte le même chemin cert_exists(), je le partage donc ici au cas où cela serait utile à quelqu’un qui rencontre des symptômes similaires.
Rapport : Let's Encrypt cert_exists() truncates the CA chain, causing forced reissuance and rate-limit failures
PR : FIX: preserve the Let's Encrypt issuer chain in cert_exists - Pull Request #1136 - discourse/discourse_docker - GitHub