Break-Fix Zscaler : une application métier cassée par l'inspection SSL

Incident — Depuis l'activation de l'inspection SSL dans ZIA, le client lourd de télédéclaration fiscale (teledecl.impots-exemple.fr) échoue : « certificat du serveur non reconnu ». Le navigateur, lui, fonctionne.

1. Sur le poste : openssl s_client -connect teledecl.impots-exemple.fr:443 -servername teledecl.impots-exemple.fr </dev/null 2>/dev/null | openssl x509 -noout -issuer → émetteur présenté → answer emetteur <zscaler|autorite-publique>
2. Pourquoi le navigateur fonctionne-t-il et pas le client lourd ? → answer cause <magasin-propre-ou-epinglage|dns|pare-feu>
3. Écrivez la demande d'exception ~/travail/exception-ssl.yaml : domaine: teledecl.impots-exemple.fr (précis, pas de joker sur tout le domaine parent), action: ne-pas-inspecter, justification, proprietaire, revue: 2027-03-31, et controles_maintenus (au moins filtrage-url et antimalware-sur-metadonnees)
4. L'exception désactive-t-elle tout le contrôle sur ce domaine ? → answer controle <non|oui>