Comme dit dans cette doc, on peut passer à sha-2 tout en assurant une rétro-compatibilité avec sha-1 en ajoutant un certificat cross-signed (sha-1 et sha-256) dans le CHAIN.

Mais au vue de la matrice de compatibilité OS/navigateur https://support.globalsign.com/customer/portal/articles/1499561-sha-256-compatibility, je me dis que ça ne vaut pas trop la peine de se faire chier.