Break-Fix : certificat expiré et chaîne incomplète

Incident P1 — Les navigateurs affichent « Votre connexion n'est pas privée » sur https://extranet.acme.test, et les partenaires qui appellent l'API en Java signalent « unable to find valid certification path ».

1. Date d'expiration du certificat servi (openssl x509 -in /etc/ssl/extranet/cert.pem -noout -enddate) → answer expire <AAAA-MM-JJ>
2. Le nouveau certificat (/etc/ssl/extranet/2026/cert.pem) est arrivé avec l'intermédiaire de l'autorité (/etc/ssl/extranet/2026/chain.pem). Construisez /etc/ssl/extranet/2026/fullchain.pem (certificat puis intermédiaire) : cat cert.pem chain.pem > fullchain.pem
3. NGINX doit utiliser ssl_certificate /etc/ssl/extranet/2026/fullchain.pem; et la nouvelle clé /etc/ssl/extranet/2026/privkey.pem
4. Testez et rechargez ; vérifiez avec openssl s_client -connect extranet.acme.test:443 -servername extranet.acme.test