SSL rotto /TLS catene di certificati da intermedi mancanti possono causare errori di attendibilità. Scopri come diagnosticare e risolverli installando una catena completa.
Errori di affidabilità del browser
Se hai installato un nuovo SSL /TLS certificato sul tuo server web ma i visitatori riscontrano errori di fiducia del browser come Not Secure, o Your Connection Is Not Private, assicurati che sia stata installata una catena di certificati intermedia completa. In Google Chrome, un messaggio di errore comune di questo tipo è NET::ERR_CERT_AUTHORITY_INVALID.
Tutti i seguenti errori del browser sono stati causati dall'installazione di un certificato valido, ma con una catena interrotta a causa di intermedi mancanti:
Not Secure avviso di fiducia
NET::ERR_CERT_AUTHORITY_INVALID avviso di fiducia nella finestra del browser Chrome.
This Connection Is Not Private.
Per ulteriori esempi di messaggi di errore del browser* derivanti dalla mancanza di certificati intermedi, fare riferimento alla nostra guida su Risoluzione dei problemi SSL /TLS Errori e avvisi del browser.
Inoltre, Firefox memorizza nella cache i certificati intermedi nel proprio archivio certificati; se in precedenza hai visitato un sito Web che includeva certificati intermedi mancanti dal tuo server, Firefox li utilizzerà per creare un certificato completo. catena di certificati quando necessario. Questo comportamento migliorato fa sì che gli utenti di Firefox riscontrino meno errori nella catena dei certificati rispetto ad altri browser.
*I messaggi di errore e le interfacce del browser visualizzati possono variare leggermente a seconda della versione del browser e del sistema operativo. I sintomi principali della mancanza di certificati intermedi rimangono gli stessi su tutte le piattaforme.
Diagnosi del problema
Strumenti e metodi diagnostici
È possibile verificare la presenza di certificati intermedi mancanti utilizzando diversi metodi:
- Verificatori SSL online
- Verificatore SSL di SSL Shopper Rimane uno strumento eccellente per identificare gli intermediari mancanti. Lo screenshot qui sotto mostra la situazione che ha prodotto gli errori mostrati sopra. I moderni strumenti di controllo SSL forniscono un'analisi completa, che include completezza della catena, date di scadenza, convalida dell'Extended Key Usage e compatibilità con i requisiti dei browser attuali.
- I moderni strumenti di test SSL verificano anche le prossime date di scadenza e i problemi relativi all'utilizzo esteso delle chiavi.
Strumenti per sviluppatori del browser
La maggior parte dei browser offre ora funzionalità avanzate di ispezione dei certificati tramite le console per sviluppatori. In Chrome, Firefox e Safari, è possibile accedere a informazioni dettagliate sulla catena dei certificati tramite:
- Facendo clic sull'icona del lucchetto nella barra degli indirizzi
- Selezionando “Certificato” o “Connessione sicura”
- Visualizzazione della catena completa dei certificati e dei dettagli di validità
Strumenti della riga di comando
Per gli amministratori di server, OpenSSL fornisce un'analisi completa della catena dei certificati:
openssl s_client -connect example.com:443 -showcerts
openssl s_client -connect example.com:443 -showcerts
Comprensione delle modifiche alla validità del certificato
SSL /TLS Il panorama dei certificati si è evoluto in modo significativo negli ultimi anni, con importanti cambiamenti che ne hanno influenzato la durata e l'utilizzo:
Durata ridotta dei certificati
Da settembre 2020, i principali browser non si fidano più di SSL/TLS certificati con periodi di validità superiori a 398 giorni (circa un anno). Il CA/Browser Forum ha adottato un programma graduale (Scheda SC-081v3) per ridurre al massimo TLS durata dei certificati: 200 giorni per i certificati emessi dal 15 marzo 2026, 100 giorni dal 15 marzo 2027 e 47 giorni dal 15 marzo 2029 in poi.
Questi cambiamenti richiedono l'implementazione di sistemi di gestione e automazione dei certificati robusti.
Restrizioni estese sull'utilizzo delle chiavi
Politica del programma Chrome Root richiede che, a partire 15 Giugno 2026, di nuova emissione pubblicamente fidato TLS certificati del server includere esclusivamente , il serverAut EKU (n clienteAuth).
Le principali CA si stanno allineando in vista di questa data. Se ne hai bisogno TLS autenticazione client, utilizzo separato Certificati client-auth da una gerarchia privata o dedicata. Le organizzazioni che utilizzano certificati per entrambi gli scopi avranno bisogno di certificati separati per ciascuna funzione.
Risolvere il problema
Quando scarichi il tuo certificato dal tuo account utente SSL.com utilizzando il link per la tua piattaforma server, ricevi un file zippato che include sia il certificato che i file di supporto necessari. Se desideri scaricare solo i certificati intermedi, puoi anche utilizzare il file Bundle CA. Link per scaricare.
L'installazione di intermedi varia in base alla piattaforma del server. Per istruzioni specifiche su come installare i certificati intermedi richiesti sul server e creare una catena completa, fare riferimento al nostro documentazione di installazione del certificato.
Impatto sull'installazione
Quando scarichi i certificati dal tuo account SSL.com, assicurati di utilizzare i certificati intermedi più aggiornati. Il link per il download del pacchetto CA nel tuo account fornirà sempre i certificati intermedi corretti e aggiornati per la tua installazione.
Migliori pratiche di installazione moderna
L'automazione è essenziale: Con la riduzione della durata dei certificati, la gestione manuale dei certificati diventa sempre più impraticabile. Si consiglia di implementare:
- Sistemi automatizzati di rinnovo dei certificati (Protocollo ACME clienti)
- Ciclo di vita del certificato strumenti di gestione
- Sistemi di monitoraggio che avvisa prima della scadenza del certificato
Considerazioni sulla piattaforma:
- Molti provider di hosting e CDN ora gestiscono automaticamente l'installazione dei certificati intermedi
- Le piattaforme cloud spesso forniscono servizi integrati di gestione dei certificati
- Per le installazioni in sede, assicurati che il processo di rinnovo includa aggiornamenti intermedi dei certificati
Fasi di verifica – Dopo l'installazione, verifica sempre l'intera catena di certificati:
- Esegui test da più browser e dispositivi
- Utilizzare gli strumenti di controllo SSL per confermare la completezza della catena
- Verifica che i periodi di validità del certificato siano in linea con il tuo programma di rinnovo
- Verificare che i certificati contengano solo valori di utilizzo chiave estesa appropriati
Conferma la correzione
Con tutti i certificati di supporto installati sullo stesso server che ha prodotto gli errori "non attendibili" mostrati sopra, Controllo SSL mostra una catena completa e gli errori di attendibilità del browser sono spariti:
Gestione dei certificati a prova di futuro
Prepararsi a cicli di vita più brevi
- Implementare sistemi automatizzati di gestione dei certificati prima che il periodo di validità di 47 giorni entri in vigore nel 2029
- Stabilire il monitoraggio e l'avviso per la scadenza del certificato
- Valutare l'utilizzo di autorità di certificazione compatibili con ACME per un'automazione senza interruzioni
Tipi di autenticazione separati
- Pianificare la separazione dei certificati di autenticazione del server e di autenticazione del client
- Esaminare l'utilizzo attuale dei certificati per identificare i certificati ad uso misto
- Implementare dedicato PKI gerarchie per diversi scopi di certificazione
Monitoraggio e Manutenzione
- Audit regolari degli inventari dei certificati in tutta la tua infrastruttura
- Test automatizzato della completezza della catena di certificati
- Documentazione delle dipendenze dei certificati e delle procedure di rinnovo
La tendenza verso durate di vita dei certificati più brevi e requisiti di utilizzo più rigorosi sottolinea l'importanza fondamentale di una corretta installazione dei certificati intermedi e di una gestione completa del ciclo di vita dei certificati.
L'installazione corretta del certificato intermedio rimane fondamentale per SSL/TLS sicurezza; tuttavia, il panorama continua a evolversi con certificati dalla durata più breve e requisiti più severi per i browser.
Seguendo le migliori pratiche attuali, implementando un'automazione appropriata e restando informati sui cambiamenti del settore, puoi garantire che i tuoi certificati forniscano una sicurezza affidabile ai tuoi utenti.
Per le istruzioni di installazione dei certificati più aggiornate e i pacchetti di certificati intermedi, fare sempre riferimento alla documentazione e ai link per il download nel proprio account SSL.com, poiché vengono aggiornati regolarmente per riflettere i requisiti più recenti e le modifiche apportate dalle CA.
Altre informazioni? Il team di supporto di SSL.com è sempre aggiornato su tutte le novità del settore e può assistervi nell'installazione dei certificati, nella configurazione della catena e nella preparazione ai requisiti futuri. Contattateci a Support@SSL.com oppure usa la funzione chat in basso a destra di questa pagina.
