Break-Fix PKI : liste de révocation expirée

Incident — Depuis 06:00, les connexions Wi-Fi 802.1X (EAP-TLS) et plusieurs applications internes refusent les certificats pourtant valides : « revocation status unknown ».

1. Point de distribution : curl -s -o acme-sub-ca.crl http://pki.acme.test/crl/ACME-SUB-CA.crl puis openssl crl -in acme-sub-ca.crl -inform DER -noout -lastupdate -nextupdate → la CRL est-elle encore valide ? → answer valide <oui|non>
2. Cause : la publication automatique de l'AC a échoué (tâche planifiée). Sur l'AC ACME-SUB-CA (PowerShell) : certutil -crl pour publier une nouvelle CRL
3. Copie vers le point de distribution HTTP : Copy-Item C:\Windows\System32\CertSrv\CertEnroll\ACME-SUB-CA.crl \\pki.acme.test\crl$\
4. Revérifiez (étape 1) → nouvelle date nextUpdate → answer prochaine <jj/mm/aaaa>. Prévention → answer prevention <supervision-nextupdate|crl-10-ans|desactiver-verification>