Łańcuch certyfikatów TLS

Czy serwer wysyła certyfikat pośredni razem z własnym. Bez niego klienci, którzy go nie mają, zrywają połączenie.

• Pomoc

Przeglądarka ufa certyfikatowi, bo podpisał go certyfikat pośredni, a ten z kolei — certyfikat główny, który przeglądarka już ma. Serwer powinien wysyłać swój certyfikat razem z pośrednim; główny nigdy nie jest przesyłany. Gdy pośredniego brakuje, wynik zależy od klienta. Przeglądarki na komputerach zwykle znają go z wcześniejszych wizyt albo pobierają same i otwierają stronę normalnie, natomiast część urządzeń z Androidem, curl, bramki płatności, webhooki i inni klienci serwerowi zrywają połączenie. To klasyczny błąd typu „u mnie działa, u nich nie”.

Jak sprawdza to SiteScan

Skaner wykonuje własne uzgodnienie połączenia i liczy certyfikaty wysłane przez serwer. Jeden certyfikat, który nie jest podpisany sam przez siebie, oznacza pominięty certyfikat pośredni: wiersz jest żółty, „Brak pośredniego”. W przeciwnym razie — „Pełny”.

Jak to naprawić

• Wskaż serwerowi pełny łańcuch, a nie sam certyfikat. W Certbocie to fullchain.pem, nie cert.pem; w nginx: ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
• W Apache 2.4.8 i nowszym plik z SSLCertificateFile powinien zawierać Twój certyfikat, a po nim pośredni.
• Przy kupionym certyfikacie połącz swój certyfikat i paczkę CA właśnie w tej kolejności.

Zobacz też: wystawca certyfikatu.