Цепочка сертификатов TLS

Отдаёт ли сервер промежуточный сертификат вместе со своим. Без него клиенты, у которых его нет в кэше, рвут соединение.

• Помощь

Браузер доверяет сертификату, потому что его подписал промежуточный сертификат, а тот, в свою очередь, — корневой, который уже есть в браузере. Сервер должен отдавать свой сертификат вместе с промежуточным; корневой не передаётся. Если промежуточного нет, всё зависит от клиента. Десктопные браузеры обычно уже встречали его или докачивают сами и открывают сайт как ни в чём не бывало, а часть Android-устройств, curl, платёжные шлюзы, вебхуки и другие серверные клиенты рвут соединение. Классическая ошибка «у меня работает, у них нет».

Как проверяет SiteScan

Сканер выполняет собственное рукопожатие и считает сертификаты, которые прислал сервер. Один сертификат, который не подписан сам собой, означает, что промежуточный не отдан: строка жёлтая, «Нет промежуточного». Иначе — «Полная».

Как исправить

• Укажите серверу полную цепочку, а не голый сертификат. У Certbot это fullchain.pem, а не cert.pem; в nginx: ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
• В Apache 2.4.8 и новее файл в SSLCertificateFile должен содержать ваш сертификат, а за ним промежуточный.
• С купленным сертификатом склейте свой сертификат и CA-bundle именно в этом порядке.

См. также: кем выдан сертификат.