Falta un intermedio
Complete la cadena de CA que está detrás de los errores unable to get local issuer certificate o unable to verify the first certificate. Si el error continúa, compruebe otras causas de confianza.
Descubrimiento del emisor por AIA · Exportación de la cadena PEM
Complete su cadena de certificados SSL.
Encuentre los certificados intermedios que faltan y genere fullchain.pem en línea. Construya una cadena de certificados SSL ordenada o un paquete de CA para Nginx, Apache y las cargas a la nube.
Construya su cadena de certificados SSL
Envíe su certificado SSL público para completar la cadena en el servidor. Se reutilizan los certificados intermedios y raíz que ya estén en el mismo archivo, y los emisores que faltan se descargan automáticamente. No envíe una clave privada.
Poner el certificado del servidor primero. Los intermediarios existentes y las raíces pueden seguir en cualquier orden. PEM o un solo DER certificado, hasta 1 MB.
Su cadena de certificados terminada aparecerá aquí
Descargar fullchain.pem para el despliegue o un paquete CA separado.
Cadena de certificado incompleta
Corrija los certificados intermedios que faltan.
Un certificado SSL necesita una ruta de emisores hasta una raíz en la que confíe el cliente. Servir solo cert.pem puede dejar esa ruta incompleta. Un navegador con intermedios en caché puede funcionar, mientras que un dispositivo nuevo o un cliente de línea de comandos informa un error de verificación.
Paquete de despliegue
Genere fullchain.pem con la hoja primero y después los intermedios. Exporte un paquete de CA aparte para las plataformas que tienen un campo específico para la cadena.
Enlaces verificados de emisor
Los nombres de los emisores y las firmas criptográficas se comprueban antes de añadir un certificado descargado.
CREAR FULLCHAIN.PEM
Cómo completar una cadena de certificados.
No se necesita una clave privada ni una conexión con el dominio. Esta herramienta trabaja con archivos de certificado, no analiza un servidor en vivo.
- 01
Añada su certificado de servidor
Pegue PEM o cargue un certificado .pem, .crt, .cer o .der. Si ya tiene una cadena parcial, deje el certificado hoja en primer lugar.
- 02
Verificar y completar la cadena
Complete la verificación de Cloudflare y, a continuación, envíe el certificado. El servidor reutiliza los intermedios y las raíces existentes antes de descargar automáticamente los emisores que faltan.
- 03
Descargue y despliegue fullchain.pem
El archivo de despliegue predeterminado contiene el certificado del servidor seguido de sus intermedios. Mantenga aparte su clave privada actual y verifique el servidor en vivo después de recargar.
Resultados de la cadena
Comprender el resultado de la terminación.
Cadena construida
Cada enlace de emisor se verifica y la cadena llega a una raíz autofirmada. Descargue el paquete de despliegue y compruebe que sus clientes de destino confían en esa raíz.
Número no disponible
AIA está ausente, bloqueado o no devuelve un emisor coincidente. Proporcione los certificados intermedio y raíz de la CA y vuelva a intentarlo.
Advertencia de validez
Un certificado caducado o no válido sigue siendo inutilizable incluso con una cadena completa. Renovarlo o resolver el problema de validez antes del despliegue.
Construir y comprobar una cadena con OpenSSL.
Obtenga los certificados intermedios de su CA y ordénelos por emisor. Configure ssl_certificate de Nginx o SSLCertificateFile de Apache 2.4.8 o posterior con fullchain.pem. Mantenga la clave privada en su campo de configuración aparte.
Después de volver a cargar el servidor, compruebe la cadena de certificados efectivamente servida para el dominio. Un paquete local por sí solo no prueba que la configuración activa TLS lo utiliza.
# Inspect issuer and AIA details openssl x509 -in cert.pem -noout -text # Leaf first, then ordered intermediates cat cert.pem intermediates.pem > fullchain.pem # Verify with a root you independently trust openssl verify -CAfile trusted-root.pem \ -untrusted intermediates.pem cert.pem # Inspect the live server using SNI openssl s_client -connect example.com:443 \ -servername example.com -showcerts \ -verify_return_error </dev/nullFormatos compatibles y límites de descarga.
Pegue bloques PEM CERTIFICATE completos o cargue un paquete PEM o un único certificado X.509 DER. Las descargas AIA admiten respuestas PEM y DER. Convierta primero los archivos P7B, PFX o P12 con el conversor de certificados. Las entradas se limitan a 1 MB; las solicitudes automáticas tienen un tiempo de espera y un límite de profundidad de la cadena.
La compleción sigue una sola ruta de emisores a partir del primer certificado y no elige una ruta alternativa para clientes antiguos. La validación, las descargas de emisores y las comprobaciones de firma se ejecutan en el servidor después de la verificación de Cloudflare. Incluya en la misma entrada los certificados intermedios y raíz que ya tenga, después del certificado del servidor.
Herramientas SSL relacionadas.
Decodificador de certificados SSL
Inspeccionar extensiones de emisor, caducidad, dominios y certificado.
Conversor de certificados SSL
Convierta paquetes P7B, DER, PEM y PFX antes de construir una cadena.
Comparador de certificado y clave
Confirme que el certificado del servidor coincide con la clave privada del despliegue.
Preguntas frecuentes sobre la finalización de la cadena del certificado.
¿Cómo completo una cadena de certificados SSL?
Pegue primero el certificado del servidor y, a continuación, los intermedios que ya tenga. Después de la verificación de Cloudflare, AutoSSL reutiliza los certificados que ya están en la entrada y descarga los emisores que faltan desde las URL de Authority Information Access (AIA). Cada emisor debe coincidir con el nombre de emisor del certificado y verificar su firma. Descargue fullchain.pem cuando la cadena llegue a una raíz autofirmada.
¿Cuál es la diferencia entre cert.pem, chain.pem y fullchain.pem?
cert.pem normalmente contiene solo el certificado del servidor. chain.pem o un paquete de CA normalmente contiene los certificados intermedios de la CA. fullchain.pem combina primero el certificado del servidor y después sus intermedios en orden de emisor. El archivo de despliegue de aquí omite la raíz autofirmada; una descarga aparte la incluye.
¿Por qué mi cadena de certificados está incompleta?
Un servidor puede estar configurado solo con el certificado hoja o con un paquete de CA anticuado. Algunos clientes tienen intermedios en caché y parecen funcionar, mientras que los clientes nuevos fallan. Si faltan emisores, pueden aparecer los errores unable to get local issuer certificate, unable to verify the first certificate o el error 60 de curl. Estos errores también pueden deberse a otras causas de confianza o de validez.
¿Por qué falló la descarga automática de certificado intermedio?
El certificado puede no tener URL de emisor AIA, o el punto final CA puede ser indisponible. Las descargas automáticas utilizan un servicio del mismo origen para los repositorios públicos soportados de CA para evitar el navegador CORS y HTTP Restricciones. Si un repositorio no es compatible o AIA está ausente, obtenga los certificados faltantes de su CA y apréguelos después del certificado servidor en la misma entrada, luego vuelva a entrar. PKCS#7 Las respuestas de AIA deben ser convertidas primero PEM con el convertidor de certificados.
¿Esta herramienta carga mi certificado o necesita una clave privada?
Sí. Su certificado público o la cadena existente se envía a AutoSSL después de la verificación de Cloudflare. El servidor valida los certificados, descarga automáticamente los emisores que faltan y devuelve la cadena completa, incluida su raíz. Se rechazan las claves privadas, los CSR y otros bloques PEM que no sean certificados. Las descargas se componen en su navegador.
¿Una cadena completa significa que el certificado es de confianza?
No. Llegar a una raíz autofirmada demuestra una cadena de firmas conectada, no que un navegador o un sistema operativo confíe en esa raíz. Esta herramienta no comprueba la revocación, la validez del nombre de host, las restricciones de ruta de la CA ni todas las políticas del certificado. Los certificados vencidos siguen necesitando renovación, y las raíces de una CA privada deben instalarse en el almacén de confianza del cliente.
¿Debería incluir el certificado raíz en mi servidor?
Los servidores TLS normalmente envían el certificado del servidor y los certificados intermedios. Los clientes ya tienen sus raíces de confianza. Use fullchain.pem en los despliegues habituales de Nginx y Apache; descargue la cadena con la raíz solo cuando la plataforma lo pida de forma expresa. Esta herramienta necesita la raíz para verificar la relación del emisor final antes de generar cualquiera de las dos salidas.