Defektes SSL /TLS Zertifikatketten von fehlenden Zwischenprodukten können Vertrauensfehler verursachen. Erfahren Sie, wie Sie sie diagnostizieren und beheben, indem Sie eine komplette Kette installieren.
Browser-Vertrauensfehler
Wenn Sie ein neues SSL installiert haben /TLS Zertifikat auf Ihrem Webserver, aber bei Besuchern treten Browser-Vertrauensfehler auf, z Not Secureden Your Connection Is Not PrivateStellen Sie bitte sicher, dass eine vollständige Zwischenzertifikatskette installiert wurde. In Google Chrome ist eine häufige Fehlermeldung dieses Typs NET::ERR_CERT_AUTHORITY_INVALID.
Alle der folgenden Browserfehler resultierten aus der Installation eines gültigen Zertifikats, jedoch mit einer unterbrochenen Kette aufgrund fehlender Zwischenprodukte:
Not Secure Vertrauenswarnung
NET::ERR_CERT_AUTHORITY_INVALID Vertrauenswarnung im Chrome-Browserfenster.
This Connection Is Not Private.
Weitere Beispiele für Browser-Fehlermeldungen* aufgrund fehlender Zwischenzertifikate finden Sie in unserem Leitfaden zu Fehlerbehebung bei SSL /TLS Browserfehler und Warnungen.
Darüber hinaus speichert Firefox Zwischenzertifikate in seinem eigenen Zertifikatspeicher. Wenn Sie zuvor eine Website besucht haben, die Zwischenzertifikate enthielt, die auf Ihrem Server fehlten, verwendet Firefox diese, um ein vollständiges Zertifikatskette bei Bedarf. Dieses verbesserte Verhalten bedeutet, dass Firefox-Benutzer im Vergleich zu anderen Browsern weniger Zertifikatskettenfehler erleben.
*Die angezeigten Fehlermeldungen und Browseroberflächen können je nach Browserversion und Betriebssystem leicht variieren. Die grundlegenden Symptome fehlender Zwischenzertifikate sind auf allen Plattformen gleich.
Diagnose des Problems
Diagnostische Werkzeuge und Methoden
Sie können mit mehreren Methoden nach fehlenden Zwischenzertifikaten suchen:
- Online-SSL-Checker
- SSL-Checker von SSL Shopper ist nach wie vor ein hervorragendes Tool zur Identifizierung fehlender Zwischenprodukte. Der folgende Screenshot zeigt die Situation, die zu den oben gezeigten Fehlern geführt hat. Moderne SSL-Prüftools bieten umfassende Analysen, einschließlich Kettenvollständigkeit, Ablaufdaten, Validierung der erweiterten Schlüsselverwendung und Kompatibilität mit aktuellen Browseranforderungen.
- Moderne SSL-Testtools prüfen auch auf bevorstehende Ablaufdaten und Probleme mit der erweiterten Schlüsselverwendung.
Browser-Entwicklertools
Die meisten Browser bieten mittlerweile erweiterte Funktionen zur Zertifikatsprüfung über ihre Entwicklerkonsolen. In Chrome, Firefox und Safari können Sie auf detaillierte Informationen zur Zertifikatskette zugreifen, indem Sie:
- Klicken Sie auf das Schlosssymbol in der Adressleiste
- Auswahl von „Zertifikat“ oder „Verbindung ist sicher“
- Anzeigen der vollständigen Zertifikatskette und Gültigkeitsdetails
Befehlszeilentools
Für Serveradministratoren bietet OpenSSL eine umfassende Zertifikatskettenanalyse:
openssl s_client -connect example.com:443 -showcerts
openssl s_client -connect example.com:443 -showcerts
Informationen zu Änderungen der Zertifikatsgültigkeit
Das SSL /TLS Die Zertifikatslandschaft hat sich in den letzten Jahren erheblich weiterentwickelt, wobei wichtige Änderungen Auswirkungen auf die Lebensdauer und Nutzung von Zertifikaten haben:
Verkürzte Zertifikatslebensdauer
Seit September 2020 vertrauen die wichtigsten Browser SSL nicht mehr/TLS Zertifikate mit einer Gültigkeitsdauer von mehr als 398 Tagen (ungefähr einem Jahr). Das CA/Browser-Forum hat einen schrittweisen Zeitplan verabschiedet (Stimmzettel SC-081v3), um die maximale TLS Zertifikatslebensdauer: 200 Tage für Zertifikate, die am/nach dem 15. März 2026 ausgestellt wurden, 100 Tage am/nach dem 15. März 2027 und 47 Tage am/nach dem 15. März 2029.
Diese Änderungen erfordern die Implementierung robuster Zertifikatsverwaltungs- und Automatisierungssysteme.
Erweiterte Schlüsselnutzungsbeschränkungen
Chrome Root-Programmrichtlinie erfordert, dass ab 15. Juni 2026, neu herausgegeben öffentlich vertrauenswürdig TLS Serverzertifikate das einzige die serverAuth EKU (Nr clientAuth).
Wichtige Zertifizierungsstellen richten sich vor diesem Datum aus. Wenn Sie TLS Client-Authentifizierung, verwenden getrennte Client-Auth-Zertifikate aus einer privaten oder dedizierten Hierarchie. Organisationen, die Zertifikate für beide Zwecke verwenden, benötigen für jede Funktion ein separates Zertifikat.
Lösung des Problems
Wenn Sie Ihr Zertifikat über den Link für Ihre Serverplattform von Ihrem SSL.com-Benutzerkonto herunterladen, erhalten Sie eine komprimierte Datei, die sowohl das Zertifikat als auch alle erforderlichen unterstützenden Dateien enthält. Wenn Sie nur die Zwischenzertifikate herunterladen möchten, können Sie auch die verwenden CA-Bundle Download-Link.
Die Installation von Zwischenprodukten variiert je nach Serverplattform. Spezifische Anweisungen zum Installieren der erforderlichen Zwischenzertifikate auf Ihrem Server und zum Erstellen einer vollständigen Kette finden Sie in unserer Dokumentation zur Installation des Zertifikats.
Auswirkungen auf die Installation
Stellen Sie beim Herunterladen von Zertifikaten von Ihrem SSL.com-Konto sicher, dass Sie die aktuellsten Zwischenzertifikate verwenden. Über den Download-Link für das CA-Paket in Ihrem Konto erhalten Sie immer die richtigen und aktuellen Zwischenzertifikate für Ihre Installation.
Bewährte Methoden für die moderne Installation
Automatisierung ist unerlässlich: Mit der abnehmenden Lebensdauer von Zertifikaten wird die manuelle Zertifikatsverwaltung zunehmend unpraktisch. Erwägen Sie die Implementierung von:
- Automatisierte Zertifikatserneuerungssysteme (ACME-Protokoll Kunden)
- Zertifikatslebenszyklus Management-Tools
- Überwachungssysteme diese Warnung vor Ablauf des Zertifikats
Überlegungen zur Plattform:
- Viele Hosting-Anbieter und CDNs verwalten jetzt automatisch die Installation von Zwischenzertifikaten
- Cloud-Plattformen bieten oft integrierte Zertifikatsverwaltungsdienste
- Stellen Sie bei lokalen Installationen sicher, dass Ihr Erneuerungsprozess zwischenzeitliche Zertifikatsaktualisierungen umfasst.
Überprüfungsschritte – Überprüfen Sie nach der Installation immer Ihre komplette Zertifikatskette:
- Testen Sie von mehreren Browsern und Geräten aus
- Verwenden Sie SSL-Checker-Tools, um die Vollständigkeit der Kette zu bestätigen
- Überprüfen Sie, ob die Gültigkeitsdauer des Zertifikats mit Ihrem Erneuerungsplan übereinstimmt
- Überprüfen Sie, ob die Zertifikate nur die entsprechenden Extended Key Usage-Werte enthalten.
Bestätigen Sie den Fix
Wenn alle unterstützenden Zertifikate auf demselben Server installiert sind, auf dem die oben gezeigten "nicht vertrauenswürdigen" Fehler aufgetreten sind, SSL-Checker zeigt eine vollständige Kette und die Browser-Vertrauensfehler sind verschwunden:
Zukunftssicheres Zertifikatsmanagement
Bereiten Sie sich auf kürzere Lebenszyklen vor
- Implementieren Sie automatisierte Zertifikatsverwaltungssysteme, bevor die 47-tägige Gültigkeitsdauer im Jahr 2029 in Kraft tritt
- Einrichten einer Überwachung und Benachrichtigung bei Zertifikatsablauf
- Erwägen Sie die Verwendung von ACME-kompatiblen Zertifizierungsstellen für eine nahtlose Automatisierung
Separate Authentifizierungstypen
- Planen Sie die Trennung von Server- und Client-Authentifizierungszertifikaten
- Überprüfen Sie die aktuelle Zertifikatsnutzung, um Zertifikate mit gemischter Verwendung zu identifizieren
- Implementieren Sie dedizierte PKI Hierarchien für unterschiedliche Zertifikatszwecke
Überwachung und Wartung
- Regelmäßige Audits der Zertifikatsbestände Ihrer gesamten Infrastruktur
- Automatisierte Prüfung der Vollständigkeit der Zertifikatskette
- Dokumentation der Zertifikatsabhängigkeiten und Erneuerungsverfahren
Der Trend zu kürzeren Zertifikatslebensdauern und strengeren Nutzungsanforderungen unterstreicht die entscheidende Bedeutung einer ordnungsgemäßen Zwischenzertifikatinstallation und eines umfassenden Zertifikatslebenszyklusmanagements.
Die ordnungsgemäße Installation des Zwischenzertifikats bleibt für SSL/TLS Sicherheit; die Landschaft entwickelt sich jedoch ständig weiter, mit kürzeren Zertifikatslebensdauern und strengeren Browseranforderungen.
Indem Sie aktuelle Best Practices befolgen, entsprechende Automatisierung implementieren und sich über Branchenänderungen auf dem Laufenden halten, können Sie sicherstellen, dass Ihre Zertifikate Ihren Benutzern zuverlässige Sicherheit bieten.
Die aktuellsten Anweisungen zur Zertifikatinstallation und zu Zwischenzertifikatspaketen finden Sie immer in der Dokumentation und den Download-Links in Ihrem SSL.com-Konto, da diese regelmäßig aktualisiert werden, um den neuesten Anforderungen und CA-Änderungen Rechnung zu tragen.
Hilfe benötigt? Das Support-Team von SSL.com ist über alle Branchenänderungen auf dem Laufenden und kann Sie bei der Zertifikatsinstallation, der Kettenkonfiguration und der Vorbereitung auf zukünftige Anforderungen unterstützen. Kontaktieren Sie uns unter Support@SSL.com oder nutzen Sie die Chat-Funktion unten rechts auf dieser Seite.
