Неполная цепочка сертификатов: решение с отсутствующим промежуточным
· Команда CSR.plus
- •Ошибка цепочки почти всегда означает, что сервер отправляет лист без промежуточного сертификата, нужного браузерам для проверки.
- •Решение — один склеенный файл: лист + промежуточный(ые) в правильном порядке.
- •Проверьте проверками уровня SSL Labs и той же командой openssl, которую запустят ваши посетители.
Почему цепочка ломается
Браузеры доверяют сертификату, потому что доверяют его корню. Ваш лист подписан промежуточным сертификатом, которого нет в хранилище доверия браузера, поэтому сервер обязан отправить его во время рукопожатия. Если конфиг указывает только на лист или файл склеен в неверном порядке, клиенты без кэша промежуточного падают с «неполная цепочка», «unable to get local issuer certificate» или NET::ERR_CERT_AUTHORITY_INVALID.
Как исправить на Nginx и Apache
Скачайте полный бандл цепочки у вашего CA (или с промежуточной точки в расширении Authority Information Access сертификата). Склейте: cat yourdomain.com.crt intermediate.crt root.crt > fullchain.crt — лист первым, промежуточные по порядку, корень последним. В Nginx укажите ssl_certificate на файл fullchain; в Apache задайте SSLCertificateChainFile (или включите цепочку в SSLCertificateFile). Затем перезагрузите.
Проверьте исправление
Выполните openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -showcerts 2>&1 | grep -A1 "Certificate chain". Вы должны увидеть лист, за которым следует промежуточный. openssl verify -CAfile root.pem fullchain.crt должен вывести «fullchain.crt: OK». Повторите с чистым профилем браузера и внешним проверщиком цепочки.
FAQ
Почему работает в одних браузерах и нет в других?
Клиенты, недавно получившие промежуточный из CT-лога или кэша, могут проверить цепочку без него; остальные — нет. Решение то же: отправлять полную цепочку.
CDN скрывает эту проблему?
Нет — CDN завершает TLS своим сертификатом. Если загрузить только лист, он передаст посетителям ту же сломанную цепочку.
UptimeRobot
Следите за SSL и аптаймом бесплатно
UptimeRobot круглосуточно проверяет ваши сертификаты и эндпоинты — 50 мониторов в бесплатном тарифе.
Партнёрская ссылка — мы можем получить комиссию без дополнительных затрат для вас.
Бесплатные SSL/TLS инструменты
Проверяйте сертификаты за секунды.