Security Alert
This page requires a secure connection which includes server authentication.
The Certificate Issuer for this site is untrusted or unknown. Do you wish to proceed? در filekit

رفع خطای Word Security Alert: Certificate Issuer is untrusted or unknown

رفع خطای Word (HTTPS/WebDAV): The Certificate Issuer for this site is untrusted or unknown

اگر Word هنگام باز کردن/ذخیره فایل از آدرس HTTPS یا WebDAV هشدار زیر را نشان می‌دهد:
This page requires a secure connection which includes server authentication.
The Certificate Issuer for this site is untrusted or unknown. Do you wish to proceed?
یعنی ویندوز/Office نتوانسته صادرکننده گواهی (Issuer / CA) را تا یک Root CA قابل اعتماد اعتبارسنجی کند.

Microsoft Word HTTPS / TLS Untrusted CA Missing Intermediate TLS Inspection / Proxy IIS / Reverse Proxy

نکته امنیتی

این هشدار معمولاً نشان می‌دهد یا گواهی self-signed است، یا یک CA داخلی/خصوصی استفاده شده که روی کلاینت‌ها trusted نیست، یا در مسیر Proxy/Firewall با TLS inspection گواهی را با CA خودش جایگزین می‌کند. نادیده گرفتن آن توصیه نمی‌شود؛ باید trust درست شود.

علت‌های رایج (Root Causes)

1) Root CA نصب نیست

گواهی توسط CA داخلی صادر شده ولی Root آن در Trusted Root Certification Authorities روی کلاینت وجود ندارد (یا GPO/Intune اعمال نشده).

2) Intermediate CA نصب/ارسال نمی‌شود

سرور intermediate را به کلاینت ارائه نمی‌کند (chain ناقص است). نتیجه: کلاینت نمی‌تواند chain را تا Root تکمیل کند.

3) TLS Inspection در مسیر

Proxy/WAF/Firewall با SSL inspection گواهی را re-sign می‌کند. اگر Root CA آن روی کلاینت‌ها trusted نباشد، Issuer ناشناس/غیرقابل اعتماد می‌شود.

4) سیستم قدیمی / Root Store آپدیت نیست

روی بعضی Windowsهای قدیمی (یا محیط‌های آفلاین)، Trusted Root ها به‌روز نیست و حتی CAهای عمومی هم ممکن است ناشناخته شوند.

تشخیص سریع (به ترتیب پیشنهادی)

Issuer را از View Certificate بخوانید
در Word روی View Certificate بزنید و مقدار Issuer را یادداشت کنید. اگر نامی شبیه Proxy/Firewall سازمان دیدید، یعنی TLS inspection فعال است.
در مرورگر همان URL را تست کنید
اگر Edge/Chrome هم همین مشکل را نشان دهد، مشکل عمومی TLS/Certificate است (نه صرفاً Word). اگر فقط Word خطا دهد، معمولاً بحث policy/proxy/revocation مسیر Office مطرح می‌شود.
زنجیره گواهی (Certification Path) را چک کنید
در تب Certification Path ببینید کدام CA با خطا مشخص شده: Root؟ Intermediate؟ یا “This certificate is not trusted”.

راهکار (Client-side) — درست کردن Trust

گزینه A: نصب Root/Intermediate CA روی کلاینت‌ها (راه استاندارد سازمانی)

Root CA را در: Local Computer > Trusted Root Certification Authorities وارد کنید.
Intermediateها را در: Local Computer > Intermediate Certification Authorities وارد کنید.
پیشنهاد: به‌جای نصب دستی، از GPO یا Intune برای deployment استفاده کنید.

کد PowerShell برای Import گواهی CA (روی کلاینت)

فایل CA را معمولاً با پسوند .cer یا .crt دارید. مسیر فایل را جایگزین کنید.

# Root CA
Import-Certificate -FilePath "C:\Temp\RootCA.cer" -CertStoreLocation "Cert:\LocalMachine\Root"

# Intermediate CA
Import-Certificate -FilePath "C:\Temp\IntermediateCA.cer" -CertStoreLocation "Cert:\LocalMachine\CA"

اگر TLS Inspection دارید

باید Root CA مربوط به Proxy/Inspection روی تمام کلاینت‌ها trusted شود؛ وگرنه Word (و سایر اپ‌ها) issuer را ناشناخته می‌بیند. این موضوع باید با تیم Security/Network هماهنگ شود.

راهکار (Server-side) — درست کردن Certificate Chain

1) اطمینان از ارائه Full Chain

در IIS یا Reverse Proxy مطمئن شوید leaf certificate به همراه intermediateها ارائه می‌شود.
صرفاً نصب leaf در IIS کافی نیست اگر intermediate در store نباشد یا سرور chain را ارسال نکند.

2) چک Cert Store روی سرور

# روی سرور: بررسی وجود intermediateها و تاریخ انقضا
Get-ChildItem Cert:\LocalMachine\CA | Select Subject, NotAfter, Thumbprint | Format-Table -AutoSize
Get-ChildItem Cert:\LocalMachine\Root | Select Subject, NotAfter, Thumbprint | Format-Table -AutoSize

چک‌لیست نهایی

✅ Issuer مشخص و قابل اعتماد است (Root CA در Trusted Root نصب است).
✅ Intermediateها موجودند (در کلاینت/سرور) و chain کامل می‌شود.
✅ اگر TLS inspection فعال است، Root CA آن به کلاینت‌ها deploy شده.
✅ پس از اعمال تغییرات، Word/Office بسته و باز شود (گاهی نیاز به logoff/restart دارد).

سوال رایج: چرا روی بعضی سیستم‌ها مشکل هست و روی بعضی نه؟

معمولاً به یکی از این موارد برمی‌گردد: (1) بعضی سیستم‌ها Root/Intermediate را دارند و بعضی ندارند (GPO کامل اعمال نشده)، (2) برخی سیستم‌ها از مسیر Proxy متفاوت استفاده می‌کنند، (3) Root Store سیستم‌های قدیمی به‌روز نیست، (4) LB/WAF به برخی کلاینت‌ها گواهی متفاوت ارائه می‌دهد.

جمع‌بندی

پیام The Certificate Issuer for this site is untrusted or unknown یعنی مشکل در «اعتماد به صادرکننده» است: یا CA روی کلاینت trusted نیست، یا chain ناقص است، یا TLS inspection گواهی را با CA خودش امضا می‌کند. راه‌حل درست: Deploy کردن Root/Intermediate صحیح یا اصلاح chain روی سرور/پروکسی.