TLS-Zertifikatskette

Ob der Server das Zwischenzertifikat mitliefert. Ohne es brechen Clients ohne zwischengespeichertes Zertifikat die Verbindung ab.

• Hilfe

Browser vertrauen einem Zertifikat, weil es von einem Zwischenzertifikat signiert ist, das wiederum von einem Stammzertifikat signiert wurde, das der Browser bereits kennt. Der Server soll sein eigenes Zertifikat zusammen mit dem Zwischenzertifikat senden; das Stammzertifikat wird nie mitgeschickt. Fehlt das Zwischenzertifikat, hängt alles vom Client ab. Desktop-Browser kennen es meist schon oder laden es selbst nach und zeigen die Seite normal an, während manche Android-Geräte, curl, Zahlungsgateways, Webhooks und andere Server-Clients die Verbindung abbrechen. Der klassische Fehler „bei mir geht’s, bei denen nicht“.

So prüft SiteScan

Der Scanner führt einen eigenen Handshake aus und zählt die Zertifikate, die der Server sendet. Ein einzelnes Zertifikat, das nicht selbst ausgestellt ist, heißt: Das Zwischenzertifikat fehlt. Die Zeile wird gelb mit „Zwischenzertifikat fehlt“, sonst steht dort „Vollständig“.

So beheben Sie es

• Verweisen Sie den Server auf die vollständige Kette statt auf das nackte Zertifikat. Bei Certbot ist das fullchain.pem, nicht cert.pem; in nginx: ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
• Ab Apache 2.4.8 sollte die Datei in SSLCertificateFile Ihr Zertifikat und danach das Zwischenzertifikat enthalten.
• Bei einem gekauften Zertifikat hängen Sie Ihr Zertifikat und das CA-Bundle in dieser Reihenfolge aneinander.

Siehe auch: Aussteller des Zertifikats.