Zwischenzertifikat fehlt
Vervollständigen Sie die CA-Kette, wenn die Fehler unable to get local issuer certificate oder unable to verify the first certificate auftreten. Prüfen Sie andere Vertrauensursachen, wenn der Fehler bleibt.
AIA-Ausstellersuche · PEM-Kettenexport
Vervollständigen Sie Ihre SSL Zertifikatskette.
Finden Sie fehlende Zwischenzertifikate und erzeugen Sie fullchain.pem online. Erstellen Sie eine geordnete SSL-Zertifikatskette oder ein CA-Bündel für Nginx, Apache und das Hochladen in die Cloud.
Erstellen Sie Ihre SSL-Zertifikatskette
Senden Sie Ihr öffentliches SSL-Zertifikat zur serverseitigen Vervollständigung der Kette. Vorhandene Zwischen- und Stammzertifikate in derselben Datei werden wiederverwendet, fehlende Aussteller werden automatisch heruntergeladen. Senden Sie keinen privaten Schlüssel.
Setzen Sie das Serverzertifikat an den Anfang. Vorhandene Zwischen- und Stammzertifikate dürfen in beliebiger Reihenfolge folgen. Akzeptiert PEM oder ein einzelnes DER-Zertifikat, bis zu 1 MB.
Ihre abgeschlossene Zertifikatskette erscheint hier
Laden Sie fullchain.pem für die Bereitstellung oder ein separates CA-Bundle herunter.
Unvollständige Zertifikatskette
Fehlende Zwischenzertifikate beheben.
Ein SSL-Zertifikat braucht einen Ausstellerpfad zu einem Stamm, dem der Client vertraut. Wenn nur cert.pem ausgeliefert wird, kann dieser Pfad unvollständig bleiben. Ein Browser mit zwischengespeicherten Zwischenzertifikaten kann funktionieren, während ein neues Gerät oder ein Kommandozeilenclient einen Prüffehler meldet.
Bereitstellungspaket
Erzeugen Sie fullchain.pem mit dem Leaf-Zertifikat zuerst, danach den Zwischenzertifikaten. Exportieren Sie ein separates CA-Bündel für Plattformen mit einem eigenen Feld für die Zertifikatskette.
Geprüfte Ausstellerverknüpfungen
Namen der Aussteller und kryptografische Signaturen werden geprüft, bevor ein heruntergeladenes Zertifikat hinzugefügt wird. Unbeteiligte Zertifikate können die Kette nicht vervollständigen.
fullchain.pem erstellen
Wie man eine Zertifikatskette vervollständigt.
Es sind weder ein privater Schlüssel noch eine Verbindung zur Domain erforderlich. Dieses Werkzeug arbeitet mit Zertifikatsdateien und prüft keinen erreichbaren Server.
- 01
Fügen Sie Ihr Serverzertifikat hinzu
Fügen Sie PEM ein oder laden Sie ein Zertifikat .pem, .crt, .cer oder .der hoch. Wenn Sie bereits eine Teilkette haben, setzen Sie das Leaf-Zertifikat an den Anfang.
- 02
Verifizieren und vervollständigen Sie die Kette
Schließen Sie die Cloudflare-Prüfung ab und senden Sie anschließend das Zertifikat. Der Server verwendet vorhandene Zwischen- und Stammzertifikate wieder, bevor er fehlende Aussteller automatisch herunterlädt.
- 03
fullchain.pem herunterladen und bereitstellen
Die Standarddatei für die Bereitstellung enthält das Serverzertifikat und danach die Zwischenzertifikate. Bewahren Sie den vorhandenen privaten Schlüssel getrennt auf und prüfen Sie den erreichbaren Server nach dem Neuladen.
Kettenergebnisse
Verstehen Sie das Abschlussergebnis.
Kette aufgebaut
Jede Ausstellerverknüpfung wird geprüft, und die Kette erreicht ein selbstsigniertes Stammzertifikat. Laden Sie das Bereitstellungspaket herunter und prüfen Sie, ob Ihre Zielclients diesem Stamm vertrauen.
Aussteller nicht verfügbar
AIA fehlt, ist blockiert oder liefert keinen passenden Aussteller. Geben Sie die Zwischen- und Stammzertifikate der CA an und versuchen Sie es erneut.
Gültigkeitswarnung
Ein abgelaufenes oder noch nicht gültiges Zertifikat bleibt auch mit vollständiger Kette unbrauchbar. Verlängern Sie es oder beheben Sie das Gültigkeitsproblem vor der Bereitstellung.
Bauen und überprüfen Sie eine Kette mit OpenSSL.
Besorgen Sie die Zwischenzertifikate bei Ihrer CA und ordnen Sie sie in Ausstellerreihenfolge. Konfigurieren Sie bei Nginx ssl_certificate oder bei Apache 2.4.8+ SSLCertificateFile mit fullchain.pem. Belassen Sie den privaten Schlüssel in seinem eigenen Konfigurationsfeld.
Prüfen Sie nach dem Neuladen des Servers die Zertifikatskette, die für die Domain tatsächlich ausgeliefert wird. Ein lokales Bündel allein beweist nicht, dass die aktive TLS-Konfiguration es verwendet.
# Inspect issuer and AIA details openssl x509 -in cert.pem -noout -text # Leaf first, then ordered intermediates cat cert.pem intermediates.pem > fullchain.pem # Verify with a root you independently trust openssl verify -CAfile trusted-root.pem \ -untrusted intermediates.pem cert.pem # Inspect the live server using SNI openssl s_client -connect example.com:443 \ -servername example.com -showcerts \ -verify_return_error </dev/nullUnterstützte Formate und Downloadlimits.
Fügen Sie vollständige PEM-CERTIFICATE-Blöcke ein oder laden Sie ein PEM-Bündel oder ein einzelnes DER-X.509-Zertifikat hoch. AIA-Downloads unterstützen PEM- und DER-Antworten. Wandeln Sie P7B-, PFX- oder P12-Dateien zuerst mit dem Zertifikatskonverter um. Eingaben sind auf 1 MB begrenzt. Automatische Anfragen haben ein Zeitlimit und eine Grenze für die Kettentiefe.
Die Vervollständigung folgt einem Ausstellerpfad ab dem ersten Zertifikat und wählt keinen alternativen Pfad für ältere Clients. Prüfung, Download der Aussteller und Signaturprüfungen laufen nach der Cloudflare-Prüfung auf dem Server. Fügen Sie vorhandene Zwischen- und Stammzertifikate in derselben Eingabe hinter das Serverzertifikat ein.
Verwandte SSL-Werkzeuge.
SSL-Zertifikatsdecoder
Prüfen Sie Aussteller, Ablauf, Domains und Zertifikatserweiterungen.
SSL-Zertifikatskonverter
Konvertieren Sie P7B-, DER-, PEM- und PFX-Pakete, bevor Sie eine Kette erstellen.
Zertifikat Key Matcher
Bestätigen Sie, dass das Serverzertifikat mit Ihrem bereitgestellten privaten Schlüssel übereinstimmt.
FAQ zum Abschluss der Zertifikatskette.
Wie vervollständige ich eine SSL-Zertifikatskette?
Fügen Sie zuerst das Serverzertifikat ein, danach vorhandene Zwischenzertifikate. Nach der Cloudflare-Prüfung verwendet AutoSSL Zertifikate, die bereits in der Eingabe stehen, und lädt fehlende Aussteller über Authority-Information-Access-(AIA-)URLs herunter. Jeder Aussteller muss zum Ausstellernamen des Zertifikats passen und dessen Signatur prüfen. Laden Sie fullchain.pem herunter, sobald die Kette ein selbstsigniertes Stammzertifikat erreicht.
Was ist der Unterschied zwischen cert.pem, chain.pem und fullchain.pem?
cert.pem enthält normalerweise nur das Serverzertifikat. chain.pem oder ein CA-Bündel enthält normalerweise Zwischenzertifikate der CA. fullchain.pem setzt das Serverzertifikat zuerst und danach die Zwischenzertifikate in Ausstellerreihenfolge. Die Bereitstellungsausgabe hier lässt das selbstsignierte Stammzertifikat weg. Ein separater Download enthält es.
Warum ist meine Zertifikatskette unvollständig?
Ein Server kann nur mit dem Leaf-Zertifikat oder einem veralteten CA-Bündel konfiguriert sein. Einige Clients haben Zwischenzertifikate zwischengespeichert und scheinen zu funktionieren, während neue Clients scheitern. Fehlende Aussteller können unable to get local issuer certificate, unable to verify the first certificate oder curl-Fehler 60 verursachen. Diese Fehler können auch andere Ursachen bei Vertrauen oder Gültigkeit haben.
Warum ist der automatische Zwischenzertifikat-Download fehlgeschlagen?
Das Zertifikat hat möglicherweise keine AIA-URL des Ausstellers, oder der Endpunkt der CA ist nicht erreichbar. Automatische Downloads nutzen für unterstützte öffentliche CA-Archive einen Dienst derselben Origin, um CORS- und HTTP-Beschränkungen des Browsers zu umgehen. Wird ein Archiv nicht unterstützt oder fehlt AIA, holen Sie die fehlenden Zertifikate bei Ihrer CA, hängen Sie sie in derselben Eingabe hinter das Serverzertifikat und versuchen Sie es erneut. PKCS#7-AIA-Antworten müssen zuerst mit dem Zertifikatskonverter in PEM umgewandelt werden.
Lädt dieses Werkzeug mein Zertifikat hoch oder wird ein privater Schlüssel benötigt?
Ja. Ihr öffentliches Zertifikat oder die vorhandene Kette wird nach der Cloudflare-Prüfung an AutoSSL gesendet. Der Server prüft die Zertifikate, lädt fehlende Aussteller automatisch herunter und gibt die vollständige Kette einschließlich des Stammzertifikats zurück. Private Schlüssel, CSRs und andere PEM-Blöcke, die keine Zertifikate sind, werden abgelehnt. Downloads werden in Ihrem Browser zusammengestellt.
Bedeutet eine abgeschlossene Kette, dass das Zertifikat vertrauenswürdig ist?
Nein. Ein selbstsigniertes Stammzertifikat belegt nur eine zusammenhängende Signaturkette, nicht dass ein Browser oder Betriebssystem diesem Stamm vertraut. Dieses Werkzeug prüft weder Widerruf noch Hostnamen, CA-Pfadbeschränkungen oder alle Zertifikatsrichtlinien. Abgelaufene Zertifikate müssen weiterhin verlängert werden, und private CA-Stammzertifikate müssen im Vertrauensspeicher des Clients installiert werden.
Soll ich das Stammzertifikat auf meinem Server einbinden?
TLS-Server senden normalerweise das Serverzertifikat und die Zwischenzertifikate. Clients haben ihre vertrauenswürdigen Stammzertifikate bereits. Verwenden Sie fullchain.pem für typische Bereitstellungen mit Nginx und Apache. Laden Sie die Kette mit Stammzertifikat nur herunter, wenn Ihre Plattform es ausdrücklich verlangt. Dieses Werkzeug braucht das Stammzertifikat, um die letzte Ausstellerbeziehung zu prüfen, bevor es eine der beiden Ausgaben erzeugt.