Bien que le bugreport a été clôturé après le freeze de wheezy (30/06/2012), le support SNI a été ajouté dans la version 1.13.4 de wget que l'on a dans stable lors de l'update Debian 7.4 (https://www.debian.org/News/2014/20140208 - « wget Add support for SNI »). Il n'y a donc plus aucun problème lié à SNI.

Le cas rencontré ici est un serveur web qui envoie son certificat, signé par le certificat intermédiaire de StartCom ... Or, ce certificat n'est pas disponible dans le magasin (/etc/ssl/certs), seul le certificat racine de StartCom l'est. Donc chaîne de certificats x509 invalide donc foirage de wget. Le serveur web devrait envoyer une chaîne comprenant son certificat + le certificat intermédiaire. Dans ce cas, la validation x509 fonctionnerait.

Les navigateurs ont l'air plus coulants. Chromium n'avait pas le certificat intermédiaire, « StartCom Class 1 Primary Intermediate Server CA », dans son magasin mais seulement le certificat racine (« StartCom Certification Authority ») et m'a laissé passé. Dans Firefox, le certificat intermédiaire était présent en « Sécurité personnelle », pas en « Builtin Object Token ». Après suppression et redémarrage manuel de Firefox, il m'a affiché une erreur (« Le certificat n'est pas sûr car aucune chaîne d'émetteurs de confiance n'est fournie. ») pour le site en question mais quand j'ai voulu ajouter une exception, il m'a indiqué que « Ce site fournit une authentification valide et certifiée. Il n'est pas nécessaire d'ajouter une exception. » et le bouton « Confirmer l'exception de sécurité. » était grisé ... Après vérification, le certificat intermédiaire de StartCom était de nouveau présent dans le magasin. Après une nouvelle expérience, je peux dire qu'il n'est pas nécessaire de cliquer sur « Ajouter une exception de sécurité » : voir l'erreur et juste faire F5 et le site apparaît et le certificat intermédiaire est remis dans le magasin de certificats.