Счупен SSL /TLS веригите на сертификати от липсващи междинни продукти могат да причинят доверителни грешки. Научете как да ги диагностицирате и коригирате, като инсталирате пълна верига.
Грешки в доверието на браузъра
Ако сте инсталирали нов SSL /TLS сертификат на вашия уеб сървър, но посетителите срещат доверие в браузъра, като например Not Secure или Your Connection Is Not Private, моля, уверете се, че е инсталирана пълна верига от междинни сертификати. В Google Chrome често срещано съобщение за грешка от този тип е NET::ERR_CERT_AUTHORITY_INVALID.
Всички следващи грешки в браузъра са резултат от инсталиране на валиден сертификат, но с прекъсната верига, причинена от липсващи междинни продукти:
Not Secure предупреждение за доверие
NET::ERR_CERT_AUTHORITY_INVALID предупреждение за доверие в прозореца на браузъра Chrome.
This Connection Is Not Private.
За още примери за съобщения за грешки в браузъра*, произтичащи от липсващи междинни сертификати, моля, вижте нашето ръководство за Отстраняване на неизправности SSL /TLS Грешки и предупреждения в браузъра.
Освен това, Firefox кешира междинни сертификати в собственото си хранилище за сертификати; ако преди това сте посетили уебсайт, който е включвал междинни сертификати, липсващи на вашия сървър, Firefox ще ги използва, за да направи пълна верига за сертификати когато е необходимо. Това подобрено поведение означава, че потребителите на Firefox срещат по-малко грешки във веригата на сертификатите в сравнение с други браузъри.
*Съобщенията за грешки и показаните интерфейси на браузъра може да се различават леко в различните версии на браузъра и операционни системи. Основните симптоми на липсващи междинни сертификати остават еднакви на всички платформи.
Диагностициране на проблема
Диагностични средства и методи
Можете да проверите за липсващи междинни сертификати, като използвате няколко метода:
- Онлайн SSL проверки
- SSL проверка на SSL на купувача остава отличен инструмент за идентифициране на липсващи междинни продукти. Снимката на екрана по-долу показва ситуацията, която е довела до показаните по-горе грешки. Съвременните инструменти за проверка на SSL предоставят цялостен анализ, включително пълнота на веригата, дати на изтичане, валидиране на Extended Key Usage и съвместимост с текущите изисквания на браузъра.
- Съвременните инструменти за SSL тестване също така проверяват за предстоящи дати на изтичане и проблеми с разширеното използване на ключове.
Инструменти за разработчици на браузъри
Повечето браузъри вече предоставят подобрени възможности за проверка на сертификати чрез своите конзоли за разработчици. В Chrome, Firefox и Safari можете да получите достъп до подробна информация за веригата на сертификатите чрез:
- Щракване върху иконата на катинар в адресната лента
- Избиране на „Сертификат“ или „Връзката е защитена“
- Преглед на пълната верига от сертификати и подробности за валидността им
Инструменти за команден ред
За сървърните администратори, OpenSSL предоставя цялостен анализ на веригата от сертификати:
openssl s_client -connect example.com:443 -showcerts
openssl s_client -connect example.com:443 -showcerts
Разбиране на промените във валидността на сертификатите
SSL /TLS Пейзажът на сертификатите се е развил значително през последните години, като важни промени са повлияли на жизнения цикъл и използването на сертификатите:
Съкратен срок на валидност на сертификатите
От септември 2020 г. основните браузъри вече не се доверяват на SSL/TLS сертификати с период на валидност по-дълъг от 398 дни (приблизително една година). Форумът на CA/Browser е приел поетапен график (Бюлетин SC-081v3) за намаляване на максимума TLS срок на валидност на сертификата: 200 дни за сертификати, издадени на/след 15 март 2026 г., 100 дни на/след 15 март 2027 г. и 47 дни на/след 15 март 2029 г.
Тези промени налагат внедряването на надеждни системи за управление и автоматизация на сертификатите.
Разширени ограничения за използване на ключове
Правила на програмата за руутване на Chrome изисква това, започвайки Юни 15, 2026, новоиздадена обществено доверие TLS сървърни сертификати include само за лична употреба - serverAuth EKU (бр clientAuth).
Основните сертификационни органи се съгласуват преди тази дата. Ако имате нужда TLS удостоверяване на клиента, използване отделен сертификати за удостоверяване на клиента от частна или специална йерархия. Организациите, използващи сертификати и за двете цели, ще се нуждаят от отделни сертификати за всяка функция.
Разрешаване на проблема
Когато изтеглите сертификата си от вашия потребителски акаунт на SSL.com, използвайки връзката за вашата сървърна платформа, получавате архивиран файл, който включва както сертификата, така и всички необходими поддържащи файлове. Ако искате да изтеглите само междинните сертификати, можете също да използвате CA пакет линк за изтегляне.
Инсталирането на междинни продукти варира в зависимост от платформата на сървъра. За конкретни инструкции как да инсталирате необходимите междинни сертификати на вашия сървър и да създадете пълна верига, моля, вижте нашата документация за инсталиране на сертификат.
Въздействие върху инсталацията
Когато изтегляте сертификати от вашия SSL.com акаунт, уверете се, че използвате най-актуалните междинни сертификати. Линкът за изтегляне на пакета CA във вашия акаунт винаги ще предоставя правилните, актуални междинни сертификати за вашата инсталация.
Най-добри практики за съвременен монтаж
Автоматизацията е от съществено значение: С намаляването на жизнения цикъл на сертификатите, ръчното управление на сертификатите става все по-непрактично. Помислете за внедряване на:
- Автоматизирани системи за подновяване на сертификати (Протокол ACME клиенти)
- Жизнен цикъл на сертификата инструменти за управление
- Системи за мониторинг това предупреждение преди изтичане на срока на валидност на сертификата
Съображения относно платформата:
- Много доставчици на хостинг услуги и CDN мрежи вече автоматично управляват инсталирането на междинни сертификати.
- Облачните платформи често предоставят интегрирани услуги за управление на сертификати.
- За локални инсталации се уверете, че процесът на подновяване включва междинни актуализации на сертификата.
Стъпки за проверка – Винаги проверявайте цялата си верига от сертификати след инсталиране:
- Тествайте от множество браузъри и устройства
- Използвайте инструменти за проверка на SSL, за да потвърдите пълнотата на веригата
- Проверете дали периодите на валидност на сертификатите съответстват на вашия график за подновяване
- Проверете дали сертификатите съдържат само подходящи стойности за разширено използване на ключове
Потвърдете корекцията
С всички поддържащи сертификати, инсталирани на един и същ сървър, който е създал грешките, които не са надеждни, показани по-горе, SSL проверка показва пълна верига и грешките на доверието на браузъра са изчезнали:
Подготовка за бъдещето на управлението на сертификатите ви
Подгответе се за по-кратки жизнени цикли
- Внедряване на автоматизирани системи за управление на сертификати преди влизането в сила на 47-дневния период на валидност през 2029 г.
- Установяване на мониторинг и предупреждение за изтичане на сертификата
- Обмислете използването на ACME-съвместими сертифициращи органи за безпроблемна автоматизация
Отделни типове удостоверяване
- Планирайте разделяне на сертификатите за удостоверяване на сървъра и клиента
- Прегледайте текущото използване на сертификати, за да идентифицирате сертификати със смесена употреба
- Приложете специализирани PKI йерархии за различни цели на сертификатите
Мониторинг и поддръжка
- Редовни одити на инвентаризацията на сертификати във вашата инфраструктура
- Автоматизирано тестване на пълнотата на веригата от сертификати
- Документация за зависимостите на сертификатите и процедурите за подновяване
Тенденцията към по-кратък живот на сертификатите и по-строги изисквания за употреба подчертава критичното значение на правилното инсталиране на междинни сертификати и цялостното управление на жизнения цикъл на сертификатите.
Правилната инсталация на междинен сертификат остава от основно значение за SSL/TLS сигурност; въпреки това, пейзажът продължава да се развива с по-кратък срок на валидност на сертификатите и по-строги изисквания към браузърите.
Като следвате най-добрите практики, внедрявате подходяща автоматизация и сте информирани за промените в индустрията, можете да гарантирате, че вашите сертификати осигуряват надеждна сигурност за вашите потребители.
За най-актуалните инструкции за инсталиране на сертификати и междинни пакети сертификати, винаги се обръщайте към документацията и връзките за изтегляне във вашия SSL.com акаунт, тъй като те се актуализират редовно, за да отразяват най-новите изисквания и промени в CA.
Нужда от помощ? Екипът за поддръжка на SSL.com е в крак с всички промени в индустрията и може да ви помогне с инсталирането на сертификати, конфигурирането на веригата и подготовката за предстоящи изисквания. Свържете се с нас на Support@SSL.com или използвайте функцията за чат в долния десен ъгъл на тази страница.
