Intermediário ausente
Complete a cadeia da CA por trás dos erros unable to get local issuer certificate ou unable to verify the first certificate. Se o erro continuar, verifique outras causas de confiança.
AIA descobrindo · PEM cadeia de exportação
Complete sua cadeia de certificados SSL.
Encontre certificados intermediários ausentes e gere o fullchain.pem online. Monte uma cadeia de certificado SSL ordenada ou um pacote de CA para Nginx, Apache e envios para a nuvem.
Monte a cadeia do certificado SSL
Envie o certificado SSL público para a conclusão da cadeia no servidor. Certificados intermediários e raiz já presentes no mesmo arquivo são reutilizados, e os emissores ausentes são baixados automaticamente. Não envie uma chave privada.
Coloque o certificado de servidor em primeiro lugar, intermediários e raízes existentes podem seguir qualquer ordem. PEM ou um único DER Certificado, até 1 MB.
Sua cadeia de certificados completa aparecerá aqui
Baixe fullchain.pem para implantação ou um pacote CA separado.
Cadeia de certificados incompleta
Corrija os certificados intermediários ausentes.
Um certificado SSL precisa de um caminho emissor para uma raiz confiável pelo cliente, servindo apenas cert.pem pode deixar esse caminho incompleto, um navegador com intermediários em cache pode funcionar enquanto um novo dispositivo ou cliente da linha de comando reporta um erro de verificação.
Pacote de implantação
Gere o fullchain.pem com o certificado folha primeiro e depois os intermediários. Exporte um pacote de CA separado para plataformas com campos próprios de cadeia.
Links de emissores verificados
Os nomes dos emissores e as assinaturas criptográficas são conferidos antes de um certificado baixado ser adicionado. Certificados sem relação não completam a cadeia.
GERAR FULLCHAIN.PEM
Como completar uma cadeia de certificados.
Esta ferramenta trabalha com arquivos de certificados em vez de digitalizar um servidor ao vivo.
- 01
Adicione seu certificado de servidor
Cole o PEM ou envie um certificado .pem, .crt, .cer ou .der. Se você já tiver uma cadeia parcial, mantenha o certificado folha em primeiro lugar.
- 02
Verificar e completar a cadeia
Conclua a verificação da Cloudflare e envie o certificado. O servidor reutiliza intermediários e raízes já presentes antes de baixar automaticamente os emissores ausentes.
- 03
Baixe e implante o fullchain.pem
O arquivo de implantação padrão contém o certificado do servidor seguido pelos intermediários, mantenha sua chave privada existente separada e verifique o servidor ao vivo após recarregar.
RESULTADOS DA CADEIA
Entenda o resultado da conclusão.
Cadeia montada
Cada elo de emissor é verificado e a cadeia chega a uma raiz autoassinada. Baixe o pacote de implantação e confira se os clientes de destino confiam nessa raiz.
Emissor indisponível
A AIA está ausente, bloqueada ou não devolve um emissor correspondente. Envie os certificados intermediário e raiz da CA e tente de novo.
Aviso de validade
Um certificado vencido ou ainda não válido continua inutilizável mesmo com a cadeia completa. Renove-o ou resolva a validade antes da implantação.
Monte e verifique uma cadeia com o OpenSSL.
Obter certificados intermediários de seu CA e organizá-los em ordem emitente. Nginx Ssl_ certificado ou Apache 2.4.8 + SSLCertificateFile com fullchain.pem. Mantenha a chave privada em seu campo de configuração separado.
Depois de recarregar o servidor, confira a cadeia de certificados realmente servida para o domínio. Um pacote local, sozinho, não prova que a configuração TLS ativa o utiliza.
# Inspect issuer and AIA details openssl x509 -in cert.pem -noout -text # Leaf first, then ordered intermediates cat cert.pem intermediates.pem > fullchain.pem # Verify with a root you independently trust openssl verify -CAfile trusted-root.pem \ -untrusted intermediates.pem cert.pem # Inspect the live server using SNI openssl s_client -connect example.com:443 \ -servername example.com -showcerts \ -verify_return_error </dev/nullFormatos suportados e limites de download.
Cole blocos PEM CERTIFICATE completos ou envie um pacote PEM ou um único certificado X.509 em DER. Os downloads de AIA aceitam respostas PEM e DER. Converta arquivos P7B, PFX ou P12 antes, no conversor de certificados. As entradas são limitadas a 1 MB. As solicitações automáticas têm tempo limite e limite de profundidade da cadeia.
A conclusão segue um único caminho de emissor a partir do primeiro certificado e não escolhe um caminho alternativo para clientes antigos. A validação, os downloads de emissor e as verificações de assinatura rodam no servidor depois da verificação da Cloudflare. Inclua certificados intermediários e raiz já existentes depois do certificado do servidor, na mesma entrada.
Relacionados com SSL ferramentas.
Decodificador de certificado SSL
Inspecione o emissor, expiração, domínios e extensões de certificado.
SSL Conversor de certificados
Converta pacotes P7B, DER, PEM e PFX antes de montar uma cadeia.
Comparador de certificado e chave
Confirme que o certificado do servidor bate com sua chave privada de implantação.
Perguntas frequentes sobre a conclusão da cadeia de certificados.
Como posso completar uma cadeia de certificados SSL?
Cole primeiro o certificado do servidor e depois os intermediários que você já tiver. Depois da verificação da Cloudflare, o AutoSSL reutiliza os certificados já presentes na entrada e baixa os emissores ausentes nas URLs de Authority Information Access (AIA). Cada emissor precisa corresponder ao nome do emissor do certificado e ter a assinatura verificada. Baixe o fullchain.pem depois que a cadeia chegar a uma raiz autoassinada.
Qual é a diferença entre cert.pem, chain.pem e fullchain.pem?
cert.pem normalmente contém só o certificado do servidor. chain.pem ou um pacote de CA normalmente contém os certificados intermediários da CA. fullchain.pem junta primeiro o certificado do servidor e depois os intermediários, na ordem do emissor. A saída de implantação daqui omite a raiz autoassinada; um download separado a inclui.
Por que minha cadeia de certificados está incompleta?
Um servidor pode estar configurado só com o certificado folha ou com um pacote de CA desatualizado. Alguns clientes têm intermediários em cache e parecem funcionar, enquanto clientes novos falham. Emissores ausentes podem causar unable to get local issuer certificate, unable to verify the first certificate ou o erro 60 do curl. Esses erros também podem ter outras causas de confiança ou de validade.
Por que a transferência automática do certificado intermediário falhou?
Os downloads automáticos usam um serviço de mesma origem para repositórios públicos suportados pela CA para evitar o navegador CORS e HTTP Se um repositório não tiver suporte ou AIA estiver ausente, obtenha os certificados perdidos da sua CA e anexá-los após o certificado do servidor na mesma entrada, então tente novamente. PKCS#7 As respostas da AIA devem primeiro ser convertidas para PEM com o conversor de certificado.
Essa ferramenta faz upload do meu certificado ou precisa de uma chave privada?
Sim. O certificado público ou a cadeia existente é enviado ao AutoSSL depois da verificação da Cloudflare. O servidor valida os certificados, baixa automaticamente os emissores ausentes e devolve a cadeia completa, inclusive a raiz. Chaves privadas, CSRs e outros blocos PEM que não sejam certificados são rejeitados. Os downloads são montados no seu navegador.
Uma cadeia completa significa que o certificado é confiável?
Não. Chegar a uma raiz autoassinada prova apenas que a cadeia de assinaturas está conectada, não que um navegador ou sistema operacional confie nessa raiz. Esta ferramenta não verifica revogação, validade do hostname, restrições de caminho da CA nem todas as políticas do certificado. Certificados vencidos ainda exigem renovação, e raízes de CA privada precisam ser instaladas no repositório de confiança do cliente.
Devo incluir o certificado de raiz no meu servidor?
Servidores TLS normalmente enviam o certificado do servidor e os intermediários. Os clientes já têm as raízes em que confiam. Use fullchain.pem nas implantações típicas de Nginx e Apache. Baixe a cadeia com a raiz apenas quando a plataforma pedir isso. Esta ferramenta precisa da raiz para verificar o último emissor antes de gerar qualquer saída.