Effectivement le certificat du CA Actalis est bien installé par ca-certificates (lui-même dépendance d'apt donc probablement présent sur la totalité des installations Debian standard) mais pas activé tant qu' update-ca-certificates n'est pas lancé par root (j'ai vérifié sur une machine virtuelle Debian 11 quasi vierge qui traîne, au cas où j'aurais joué avec les certificats sans m'en souvenir sur mon installation Debian habituelle)
Merci pour les explications :-)