缺少中繼憑證
補全導致 unable to get local issuer certificate 或 unable to verify the first certificate 的 CA 憑證鏈。如果錯誤仍然存在，請檢查其他信任問題。
AIA 簽發機構發現 · PEM 憑證鏈匯出
補全 SSL 憑證鏈。
線上查詢缺失的中繼憑證並產生 fullchain.pem。為 Nginx、Apache 和雲端憑證上傳建立有序的 SSL 憑證鏈或 CA 憑證套件。
建立 SSL 憑證鏈
提交公開金鑰 SSL 憑證，由伺服器補全憑證鏈。同一檔案中已有的中繼憑證和根憑證會被複用，缺失的簽發機構憑證會自動下載。請不要提交私密金鑰。
請把伺服器憑證放在最前面。已有的中繼憑證和根憑證可以按任意順序跟在後面。接受 PEM 或單個 DER 憑證，最大 1 MB。
補全後的憑證鏈將顯示在這裡
下載用於部署的 fullchain.pem，或單獨的 CA 憑證套件。
憑證鏈不完整
補上缺失的中繼憑證。
SSL 憑證需要一條通向用戶端信任的根憑證的簽發路徑。只提供 cert.pem 可能讓這條路徑不完整。快取了中繼憑證的瀏覽器也許能存取，而新裝置或命令列用戶端會報告驗證錯誤。
部署檔案包
產生 fullchain.pem 時先放葉憑證，再放中繼憑證。如果平臺有單獨的憑證鏈欄位，請另外匯出 CA 憑證套件。
已驗證的簽發機構連結
新增下載的憑證之前，會檢查簽發機構名稱和密碼學簽章。無關憑證無法補全憑證鏈。
建立 fullchain.pem
如何補全憑證鏈。
不需要私密金鑰，也不需要連線網域。此工具處理的是憑證檔案，而不是掃描線上伺服器。
- 01
新增您的伺服器憑證
貼上 PEM，或上傳 .pem、.crt、.cer 或 .der 憑證。如果已有部分憑證鏈，請把葉憑證放在最前面。
- 02
驗證並補全憑證鏈
完成 Cloudflare 驗證後提交憑證。伺服器會先複用已有的中繼憑證和根憑證，再自動下載缺失的簽發機構憑證。
- 03
下載並部署 fullchain.pem
預設的部署檔案先包含伺服器憑證，後面是中繼憑證。請把現有私密金鑰單獨儲存，並在重新載入後驗證線上伺服器。
憑證鏈結果
瞭解補全結果。
已建立憑證鏈
每一級簽發機構連結都已驗證，憑證鏈到達自簽章根憑證。請下載部署用的憑證套件，並確認目標用戶端信任該根憑證。
無法取得簽發機構
AIA 不存在、被攔截，或沒有返回匹配的簽發機構。請從憑證頒發機構取得中繼憑證和根憑證，然後重試。
有效性警告
即使憑證鏈完整，已過期或尚未生效的憑證仍然無法使用。部署前請續期，或先解決有效期問題。
使用 OpenSSL 建立並檢查憑證鏈。
從憑證頒發機構取得中繼憑證，並按簽發機構順序排列。為 Nginx 的 ssl_certificate 或 Apache 2.4.8 及以上的 SSLCertificateFile 設定 fullchain.pem。私密金鑰仍放在單獨的設定項中。
重新載入伺服器後，請檢查該網域實際提供的憑證鏈。僅有本地憑證套件，並不能證明正在使用的 TLS 設定用的就是它。
# Inspect issuer and AIA details openssl x509 -in cert.pem -noout -text # Leaf first, then ordered intermediates cat cert.pem intermediates.pem > fullchain.pem # Verify with a root you independently trust openssl verify -CAfile trusted-root.pem \ -untrusted intermediates.pem cert.pem # Inspect the live server using SNI openssl s_client -connect example.com:443 \ -servername example.com -showcerts \ -verify_return_error </dev/null支援的格式與下載限制。
貼上完整的 PEM CERTIFICATE 塊，或上傳 PEM 憑證套件或單個 DER X.509 憑證。AIA 下載支援 PEM 和 DER 響應。P7B、PFX 或 P12 檔案請先用憑證轉換器轉換。輸入限制為 1 MB；自動請求有逾時和憑證鏈深度限制。
補全只沿第一張憑證的一條簽發路徑進行，不會為舊用戶端選擇另一條路徑。Cloudflare 驗證之後，伺服器會執行驗證、下載簽發機構憑證和簽章檢查。請在同一份輸入中，把已有的中繼憑證和根憑證放在伺服器憑證之後。
相關 SSL 工具。
憑證鏈補全常見問題。
如何補全 SSL 憑證鏈？
先貼上伺服器憑證，再附上已有的中繼憑證。Cloudflare 驗證之後，AutoSSL 會複用輸入中已有的憑證，並從 Authority Information Access（AIA）URL 下載缺失的簽發機構憑證。每個簽發機構都必須符合憑證的簽發機構名稱，並驗證其簽章。憑證鏈到達自簽章根憑證後，即可下載 fullchain.pem。
cert.pem、chain.pem 和 fullchain.pem 有什麼不同？
cert.pem 通常只包含伺服器憑證。chain.pem 或 CA 憑證套件通常包含中間 CA 憑證。fullchain.pem 先放伺服器憑證，再按簽發機構順序放中繼憑證。這裡的部署輸出會省略自簽章根憑證；單獨的下載檔案會包含它。
為什麼我的憑證鏈不完整？
伺服器可能只設定了葉憑證，或使用了過時的 CA 憑證套件。有些用戶端快取了中繼憑證，看起來可以正常存取，而新的用戶端會失敗。缺少簽發機構可能導致 unable to get local issuer certificate、unable to verify the first certificate 或 curl error 60。這些錯誤也可能由其他信任或有效性問題引起。
為什麼自動下載中繼憑證失敗了？
憑證可能沒有 AIA 簽發機構 URL，或者憑證頒發機構的端點不可用。自動下載會透過同源服務存取受支援的公共 CA 倉庫，以避開瀏覽器的 CORS 和 HTTP 限制。如果倉庫不受支援或沒有 AIA，請從憑證頒發機構取得缺失的憑證，追加到同一份輸入中的伺服器憑證之後，然後重試。PKCS#7 格式的 AIA 響應必須先用憑證轉換器轉換為 PEM。
此工具會上傳我的憑證，或需要私密金鑰嗎？
會。Cloudflare 驗證之後，你的公開金鑰憑證或現有憑證鏈會發送到 AutoSSL。伺服器會驗證憑證、自動下載缺失的簽發機構憑證，並返回包含根憑證的完整憑證鏈。私密金鑰、CSR 以及其他非憑證 PEM 塊會被拒絕。下載內容在瀏覽器中組裝。
憑證鏈補全是否表示憑證已被信任？
不能。到達自簽章根憑證只說明簽章鏈是連通的，並不代表瀏覽器或作業系統信任該根憑證。此工具不檢查撤銷、主機名稱有效性、CA 路徑約束或各項憑證政策。過期憑證仍需要續期，私有 CA 的根憑證也需要安裝到用戶端的信任儲存中。
伺服器上需要包含根憑證嗎？
TLS 伺服器通常傳送伺服器憑證和中繼憑證。用戶端已經持有自己信任的根憑證。典型的 Nginx 和 Apache 部署使用 fullchain.pem；只有平臺明確要求時，才下載包含根憑證的憑證鏈。此工具在產生任一輸出之前，都需要根憑證來驗證最後一級簽發關係。