Eksik ortalık
unable to get local issuer certificate veya unable to verify the first certificate hatalarının ardındaki CA zincirini tamamlayın. Hata sürerse diğer güven nedenlerini doğrulayın.
AIA problemr keşif · PEM zincir ihracat
SSL Sertifika Zincirinizi Tamamlayın.
Eksik ara sertifikaları bulun ve fullchain.pem dosyasını çevrimiçi oluşturun. Nginx, Apache ve bulut sertifika yüklemeleri için sıralı bir SSL sertifikası zinciri veya CA paketi oluşturun.
SSL sertifika zincirinizi oluşturun
Sunucu tarafında zincir tamamlama için açık SSL sertifikanızı gönderin. Aynı dosyadaki mevcut ara ve kök sertifikalar yeniden kullanılır, eksik verenler otomatik indirilir. Özel anahtar göndermeyin.
Sunucu sertifikasını ilk önce koyun. Mevcut ortalar ve kökleri herhangi bir sırayla takip edebilir. Kabuller PEM veya tek bir ya da DER Sertifika, sertifikaya kadar 1 MB.
Tamamlanmış sertifika zinciriniz burada görünecek
Dağıtım için fullchain.pem veya ayrı bir CA paketi indirin.
Tamamlanmamış sertifika zinciri
Eksik ara sertifikaları düzeltin.
SSL sertifikasının, istemcinin güvendiği bir köke giden bir veren yolu olmalıdır. Yalnızca cert.pem sunmak bu yolu eksik bırakabilir. Ara sertifikaları önbelleğe almış bir tarayıcı çalışırken yeni bir cihaz veya komut satırı istemcisi doğrulama hatası bildirebilir.
Dağıtım paketi
fullchain.pem dosyasını önce yaprak, ardından ara sertifikalar olacak şekilde oluşturun. Ayrı sertifika zinciri alanı olan platformlar için ayrı bir CA paketi dışa aktarın.
Doğrulanan veren bağlantıları
İndirilen bir sertifika eklenmeden önce veren adları ve kriptografik imzalar denetlenir. İlgisiz sertifikalar zinciri tamamlayamaz.
Fullchain.PEM
Sertifika zincirini nasıl tamamlamak için.
Özel anahtar veya alan bağlantısı gerekli değildir. Bu araç, canlı bir sunucuyu taramaktan ziyade sertifika dosyaları ile çalışır.
- 01
sunucu sertifikanızı ekleyin
PEM yapıştırın veya bir .pem, .crt, .cer ya da .der sertifikası yükleyin. Kısmi bir zinciriniz varsa yaprak sertifikayı ilk sırada tutun.
- 02
Doğrulama ve zinciri tamamlayın
Cloudflare doğrulamasını tamamlayın, ardından sertifikayı gönderin. Sunucu, eksik verenleri otomatik indirmeden önce mevcut ara sertifikaları ve kökleri yeniden kullanır.
- 03
fullchain.pem dosyasını indirin ve dağıtın
Varsayılan dağıtım dosyası, sunucu sertifikasını ve ardından ara sertifikalarını içerir. Mevcut özel anahtarınızı ayrı tutun ve yeniden yükledikten sonra canlı sunucuyu doğrulayın.
Zincir sonuçları
Tamamlanan sonucu anlayın.
Zincir oluşturuldu
Her veren bağlantısı doğrulanır ve zincir kendinden imzalı bir köke ulaşır. Dağıtım paketini indirin ve hedef istemcilerinizin bu köke güvendiğini denetleyin.
Veren kullanılamıyor
AIA yok, engellenmiş veya eşleşen bir veren döndürmüyor. CA'dan ara ve kök sertifikaları sağlayın, ardından yeniden deneyin.
Geçerlilik uyarısı
Süresi dolmuş veya henüz geçerli olmayan bir sertifika, zincir tam olsa bile kullanılamaz. Dağıtımdan önce yenileyin veya geçerlilik sorununu giderin.
OpenSSL ile bir zincir kurmak ve kontrol edin.
CA'nızdan ara sertifikaları alın ve veren sırasına göre dizin. Nginx ssl_certificate veya Apache 2.4.8+ SSLCertificateFile ayarını fullchain.pem ile yapılandırın. Özel anahtarı ayrı yapılandırma alanında tutun.
Sunucuyu yeniden yükledikten sonra alan adı için gerçekten sunulan sertifika zincirini denetleyin. Yalnızca yerel bir paket, etkin TLS yapılandırmasının onu kullandığını kanıtlamaz.
# Inspect issuer and AIA details openssl x509 -in cert.pem -noout -text # Leaf first, then ordered intermediates cat cert.pem intermediates.pem > fullchain.pem # Verify with a root you independently trust openssl verify -CAfile trusted-root.pem \ -untrusted intermediates.pem cert.pem # Inspect the live server using SNI openssl s_client -connect example.com:443 \ -servername example.com -showcerts \ -verify_return_error </dev/nullDesteklenen formatlar ve limitleri indirmek.
Tam PEM CERTIFICATE bloklarını yapıştırın veya bir PEM paketi ya da tek bir DER X.509 sertifikası yükleyin. AIA indirmeleri PEM ve DER yanıtlarını destekler. P7B, PFX veya P12 dosyalarını önce sertifika dönüştürücüyle dönüştürün. Girdiler 1 MB ile sınırlıdır; otomatik isteklerin zaman aşımı ve zincir derinliği sınırı vardır.
Tamamlama, ilk sertifikadan tek bir veren yolunu izler ve eski istemciler için alternatif bir yol seçmez. Doğrulama, veren indirmeleri ve imza denetimleri Cloudflare doğrulamasından sonra sunucuda çalışır. Varsa ara ve kök sertifikaları, aynı girdide sunucu sertifikasının ardına ekleyin.
İlgili SSL araçları.
Sertifika zinciri tamamlama SSS.
SSL sertifikası zincirini nasıl tamamlıyorum?
Önce sunucu sertifikasını, ardından varsa ara sertifikaları yapıştırın. Cloudflare doğrulamasından sonra AutoSSL, girdideki sertifikaları yeniden kullanır ve eksik verenleri Authority Information Access (AIA) URL'lerinden indirir. Her veren, sertifikanın veren adıyla eşleşmeli ve imzasını doğrulamalıdır. Zincir kendinden imzalı bir köke ulaştıktan sonra fullchain.pem dosyasını indirin.
cert.pem, chain.pem ve fullchain.pem arasındaki fark nedir?
cert.pem normalde yalnızca sunucu sertifikasını içerir. chain.pem veya bir CA paketi normalde ara CA sertifikalarını içerir. fullchain.pem önce sunucu sertifikasını, ardından ara sertifikaları veren sırasıyla birleştirir. Buradaki dağıtım çıktısı kendinden imzalı kökü dışarıda bırakır; ayrı bir indirme onu içerir.
Sertifika zincirim neden eksik?
Bir sunucu yalnızca yaprak sertifikayla veya güncel olmayan bir CA paketiyle yapılandırılmış olabilir. Bazı istemciler ara sertifikaları önbelleğe aldığı için çalışıyor görünürken yeni istemciler başarısız olur. Eksik verenler unable to get local issuer certificate, unable to verify the first certificate veya curl error 60 hatalarına yol açabilir. Bu hataların başka güven veya geçerlilik nedenleri de olabilir.
Otomatik ara sertifika indirmesi neden başarısız oldu?
Sertifikanın AIA veren URL'si olmayabilir veya CA uç noktası kullanılamaz olabilir. Otomatik indirmeler, tarayıcı CORS ve HTTP kısıtlarından kaçınmak için desteklenen genel CA depoları için aynı kaynaklı bir hizmet kullanır. Depo desteklenmiyorsa veya AIA yoksa eksik sertifikaları CA'nızdan alın, aynı girdide sunucu sertifikasının ardına ekleyin ve yeniden deneyin. PKCS#7 AIA yanıtları önce sertifika dönüştürücüyle PEM'e dönüştürülmelidir.
Bu araç sertifikamı yükler mi yoksa özel bir anahtara mı ihtiyacınız var?
Evet. Açık sertifikanız veya mevcut zinciriniz, Cloudflare doğrulamasından sonra AutoSSL’e gönderilir. Sunucu sertifikaları doğrular, eksik sağlayıcı sertifikalarını otomatik indirir ve köküyle birlikte tam zinciri döndürür. Özel anahtarlar, CSR’ler ve sertifika olmayan PEM blokları reddedilir. İndirilen dosyalar tarayıcınızda oluşturulur.
Tamamlanan bir zincir sertifikanın güvenilir olduğu anlamına mı geliyor?
Hayır. Kendinden imzalı bir köke ulaşmak, bağlı bir imza zincirini kanıtlar; bir tarayıcının veya işletim sisteminin bu köke güvendiğini kanıtlamaz. Bu araç iptali, ana makine adı geçerliliğini, CA yol kısıtlarını veya her sertifika ilkesini denetlemez. Süresi dolmuş sertifikaların yine yenilenmesi gerekir. Özel CA köklerinin istemcinin güven deposuna yüklenmesi gerekir.
Sunucumdaki kök sertifikayı içermeli miyim?
TLS sunucuları normalde sunucu sertifikasını ve ara sertifikaları gönderir. İstemciler güvendikleri kökleri zaten tutar. Tipik Nginx ve Apache dağıtımları için fullchain.pem kullanın; kökü içeren zinciri yalnızca platformunuz özellikle istediğinde indirin. Bu araç, iki çıktıdan birini üretmeden önce son veren ilişkisini doğrulamak için köke ihtiyaç duyar.