Moyenne manquante
Complétez la chaîne d’AC à l’origine des erreurs unable to get local issuer certificate ou unable to verify the first certificate. Si l’erreur persiste, vérifiez les autres causes liées à la confiance.
Découverte de l'émetteur AIA · PEM chaîne d'exportation
Remplissez votre chaîne de certificat SSL.
Trouvez les certificats intermédiaires manquants et générez fullchain.pem en ligne. Construisez une chaîne de certificats SSL ordonnée, ou un bundle d’AC, pour Nginx, Apache et les envois de certificats vers le cloud.
Construisez votre chaîne de certificats SSL
Envoyez votre certificat SSL public pour compléter la chaîne côté serveur. Les certificats intermédiaires et racines déjà présents dans le même fichier sont réutilisés, et les émetteurs manquants sont téléchargés automatiquement. N’envoyez pas de clé privée.
Mettez le certificat de serveur en premier. Les intermédiaires et les racines existants peuvent suivre dans n'importe quel ordre. Accepte PEM ou un seul certificat DER, jusqu'à 1 MB.
Votre chaîne de certificats complète apparaîtra ici
Téléchargez fullchain.pem pour le déploiement, ou un bundle d’AC séparé.
Chaîne de certificats incomplète
Correction des certificats intermédiaires manquants.
Un certificat SSL a besoin d’un chemin d’émetteur jusqu’à une racine approuvée par le client. Ne servir que cert.pem peut laisser ce chemin incomplet. Un navigateur qui a mis les intermédiaires en cache peut fonctionner, alors qu’un nouvel appareil ou un client en ligne de commande signale une erreur de vérification.
Bundle de déploiement
Générez fullchain.pem avec le certificat feuille en premier, puis les intermédiaires. Exportez un bundle d’AC séparé pour les plateformes qui ont un champ dédié à la chaîne.
Liens d'émetteurs vérifiés
Le nom de l’émetteur et la signature cryptographique sont vérifiés avant d’ajouter un certificat téléchargé. Un certificat sans lien ne peut pas compléter la chaîne.
Construire fullchain.pem
Comment remplir une chaîne de certificats.
Aucune clé privée ou connexion de domaine n'est requise. Cet outil fonctionne avec des fichiers de certificat plutôt que de scanner un serveur en direct.
- 01
Ajouter votre certificat de serveur
Collez du PEM ou envoyez un certificat .pem, .crt, .cer ou .der. Si vous avez déjà une chaîne partielle, placez le certificat feuille en premier.
- 02
Vérifier et compléter la chaîne
Terminez la vérification Cloudflare, puis envoyez le certificat. Le serveur réutilise les intermédiaires et les racines déjà présents avant de télécharger les émetteurs manquants.
- 03
Télécharger et déployer fullchain.pem
Le fichier de déploiement par défaut contient le certificat du serveur suivi de ses intermédiaires. Gardez votre clé privée existante séparée et vérifiez le serveur en direct après rechargement.
Résultats de la chaîne
Comprendre le résultat d'achèvement.
Chaîne construite
Chaque lien d’émetteur est vérifié et la chaîne atteint une racine autosignée. Téléchargez le bundle de déploiement et vérifiez que vos clients cibles font confiance à cette racine.
Émetteur non disponible
AIA est absent, bloqué, ou ne renvoie pas d’émetteur correspondant. Fournissez les certificats intermédiaires et racine de l’AC, puis réessayez.
Avertissement de validité
Un certificat expiré ou pas encore valide reste inutilisable, même avec une chaîne complète. Renouvelez-le ou corrigez le problème de validité avant le déploiement.
Construisez et vérifiez une chaîne avec OpenSSL.
Obtenez les certificats intermédiaires auprès de votre AC et placez-les dans l’ordre des émetteurs. Configurez ssl_certificate pour Nginx, ou SSLCertificateFile pour Apache 2.4.8 et versions ultérieures, avec fullchain.pem. Laissez la clé privée dans son champ de configuration distinct.
Après avoir rechargé le serveur, vérifiez la chaîne de certificats réellement présentée pour le domaine. Un bundle local ne prouve pas à lui seul que la configuration TLS active l’utilise.
# Inspect issuer and AIA details openssl x509 -in cert.pem -noout -text # Leaf first, then ordered intermediates cat cert.pem intermediates.pem > fullchain.pem # Verify with a root you independently trust openssl verify -CAfile trusted-root.pem \ -untrusted intermediates.pem cert.pem # Inspect the live server using SNI openssl s_client -connect example.com:443 \ -servername example.com -showcerts \ -verify_return_error </dev/nullFormats pris en charge et limites de téléchargement.
Collez des blocs PEM CERTIFICATE complets, ou envoyez un bundle PEM ou un seul certificat X.509 DER. Les téléchargements AIA acceptent des réponses PEM et DER. Convertissez d’abord les fichiers P7B, PFX ou P12 avec le convertisseur de certificats. Les entrées sont limitées à 1 Mo ; les requêtes automatiques ont un délai et une limite de profondeur de chaîne.
La complétion suit un seul chemin d’émetteur à partir du premier certificat et ne choisit pas un autre chemin pour les anciens clients. La validation, le téléchargement des émetteurs et la vérification des signatures s’exécutent sur le serveur après la vérification Cloudflare. Placez les certificats intermédiaires et racine déjà en votre possession après le certificat du serveur, dans la même entrée.
Related SSL outils.
SSL Décoder le certificat
Inspecter l'émetteur, l'expiration, les domaines et les extensions de certificat.
SSL Convertisseur de certificat
Convertir P7B, DER , PEM et PFX avant de construire une chaîne.
Comparaison certificat et clé
Confirmez que le certificat du serveur correspond à votre clé privée de déploiement.
Achèvement de la chaîne de certificat FAQ.
Comment puis-je remplir une chaîne de certificats SSL?
Collez d’abord le certificat du serveur, puis les intermédiaires déjà en votre possession. Après la vérification Cloudflare, AutoSSL réutilise les certificats déjà présents et télécharge les émetteurs manquants depuis les URL Authority Information Access (AIA). Chaque émetteur doit correspondre au nom d’émetteur du certificat et vérifier sa signature. Téléchargez fullchain.pem une fois que la chaîne atteint une racine auto-signée.
Quelle est la différence entre cert.pem, chain.pem et fullchain.pem ?
cert.pem ne contient en principe que le certificat du serveur. chain.pem, ou un bundle d’AC, contient en principe les certificats intermédiaires. fullchain.pem place d’abord le certificat du serveur, puis ses intermédiaires dans l’ordre des émetteurs. La sortie de déploiement omet ici la racine auto-signée ; un téléchargement séparé l’inclut.
Pourquoi ma chaîne de certificats est-elle incomplète?
Un serveur peut n’avoir que le certificat feuille, ou un bundle d’AC obsolète. Certains clients ont mis les intermédiaires en cache et semblent fonctionner, alors que les nouveaux clients échouent. Des émetteurs manquants peuvent provoquer « unable to get local issuer certificate », « unable to verify the first certificate » ou l’erreur curl 60. Ces erreurs peuvent aussi venir d’un autre problème de confiance ou de validité.
Pourquoi le téléchargement automatique du certificat intermédiaire a-t-il échoué?
Le certificat peut ne pas avoir d’URL d’émetteur AIA, ou le point de terminaison de l’AC peut être indisponible. Les téléchargements automatiques passent par un service de même origine pour les dépôts publics d’AC pris en charge, afin d’éviter les restrictions CORS et HTTP du navigateur. Si un dépôt n’est pas pris en charge ou si l’AIA est absent, récupérez les certificats manquants auprès de votre AC, ajoutez-les après le certificat du serveur dans la même entrée, puis réessayez. Les réponses AIA au format PKCS#7 doivent d’abord être converties en PEM avec le convertisseur de certificats.
Est-ce que cet outil charge mon certificat ou a besoin d'une clé privée?
Oui. Votre certificat public ou chaîne existante est envoyé à AutoSSL après vérification de Cloudflare. Le serveur valide automatiquement les certificats, télécharge les émetteurs manquants et retourne la chaîne complète y compris sa racine. Clés privées, CSR, et autres blocs non-certificat PEM sont rejetés. Les téléchargements sont assemblés dans votre navigateur.
Est-ce qu'une chaîne complète signifie que le certificat est fiable?
Non. Atteindre une racine auto-signée prouve que les signatures s’enchaînent, pas qu’un navigateur ou un système d’exploitation fait confiance à cette racine. Cet outil ne vérifie pas la révocation, la validité du nom d’hôte, les contraintes de chemin d’AC ni toutes les politiques de certificat. Les certificats expirés doivent toujours être renouvelés, et les racines d’AC privées doivent être installées dans le magasin de confiance du client.
Devrais-je inclure le certificat racine sur mon serveur ?
Les serveurs TLS envoient en principe le certificat du serveur et les certificats intermédiaires. Les clients possèdent déjà leurs racines de confiance. Utilisez fullchain.pem pour les déploiements Nginx et Apache habituels ; téléchargez la chaîne avec la racine seulement si votre plateforme le demande explicitement. Cet outil a besoin de la racine pour vérifier le dernier émetteur avant de produire l’un ou l’autre fichier.