Trasig SSL /TLS certifikatkedjor från saknade intermediärer kan orsaka förtroendefel. Lär dig hur du diagnostiserar och fixar dem genom att installera en komplett kedja.
Fel på webbläsarens förtroende
Om du har installerat en ny SSL /TLS certifikat på din webbserver men besökare upplever fel i webbläsarens förtroende som t.ex. Not Secure, eller Your Connection Is Not Private, se till att en komplett mellanliggande certifikatkedja har installerats. I Google Chrome är ett vanligt felmeddelande av den här typen NET::ERR_CERT_AUTHORITY_INVALID.
Alla följande webbläsarfel berodde på installation av ett giltigt certifikat, men med en trasig kedja orsakad av saknade mellanliggande certifikat:
Not Secure lita varning
NET::ERR_CERT_AUTHORITY_INVALID lita varning i Chrome webbläsarfönster.
This Connection Is Not Private.
För fler exempel på webbläsarfelmeddelanden* som orsakas av saknade mellanliggande certifikat, vänligen se vår guide om Felsökning av SSL /TLS Webbläsarfel och varningar.
Dessutom cachar Firefox mellanliggande certifikat i sitt eget certifikatarkiv. Om du tidigare besökt en webbplats som saknade mellanliggande certifikat på din server, kommer Firefox att använda dem för att skapa en fullständig kod. certifikatkedja vid behov. Detta förbättrade beteende innebär att Firefox-användare upplever färre fel i certifikatkedjorna jämfört med andra webbläsare.
*Felmeddelanden och webbläsargränssnitt som visas kan variera något mellan olika webbläsarversioner och operativsystem. De grundläggande symptomen på saknade mellanliggande certifikat är desamma på alla plattformar.
Diagnostisera problemet
Diagnostiska verktyg och metoder
Du kan kontrollera om det finns saknade mellanliggande certifikat med flera metoder:
- SSL-kontrollanter online
- SSL-kundens SSL-kontrollant är fortfarande ett utmärkt verktyg för att identifiera saknade mellanprodukter. Skärmdumpen nedan visar situationen som orsakade felen som visas ovan. Moderna SSL-kontrollverktyg ger omfattande analyser, inklusive kedjefullständighet, utgångsdatum, validering av utökad nyckelanvändning och kompatibilitet med aktuella webbläsarkrav.
- Moderna SSL-testverktyg kontrollerar även kommande utgångsdatum och problem med utökad nyckelanvändning.
Verktyg för webbläsarutvecklare
De flesta webbläsare erbjuder nu förbättrade funktioner för certifikatinspektion via sina utvecklarkonsoler. I Chrome, Firefox och Safari kan du få åtkomst till detaljerad information om certifikatkedjor genom att:
- Klicka på låsikonen i adressfältet
- Att välja ”Certifikat” eller ”Anslutningen är säker”
- Visa hela certifikatkedjan och giltighetsinformation
Kommandoradsverktyg
För serveradministratörer erbjuder OpenSSL omfattande certifikatkedjeanalys:
openssl s_client -connect example.com:443 -showcerts
openssl s_client -connect example.com:443 -showcerts
Förstå ändringar i certifikatgiltighet
SSL /TLS Certifikatlandskapet har utvecklats avsevärt under senare år, med viktiga förändringar som påverkar certifikatens livslängd och användning:
Förkortade certifikatlivslängder
Sedan september 2020 litar inte längre de flesta webbläsare på SSL/TLS certifikat med giltighetsperioder längre än 398 dagar (ungefär ett år). CA/Browser Forum har antagit ett etappschema (Valsedel SC-081v3) för att minska maximalt TLS certifikatlivslängder: 200 DAYS för certifikat utfärdade den/efter den 15 mars 2026, 100 DAYS den/efter den 15 mars 2027, och 47 DAYS den/efter den 15 mars 2029.
Dessa förändringar kräver implementering av robusta system för certifikathantering och automatisering.
Utökade begränsningar för nyckelanvändning
Chromes rootprogrampolicy kräver att man börjar Juni 15, 2026, nyligen utgiven offentligt betrodda TLS servercertifikat innefattar endast d serverAuth EKU (nr clientAuth).
Större CA-myndigheter anpassar sig före detta datum. Om du behöver TLS klientautentisering, användning separat klientautentiseringscertifikat från en privat eller dedikerad hierarki. Organisationer som använder certifikat för båda ändamålen behöver separata certifikat för varje funktion.
Lösa problemet
När du laddar ner ditt certifikat från ditt SSL.com-användarkonto med länken för din serverplattform får du en zippad fil som innehåller både certifikatet och alla nödvändiga stödfiler. Om du bara vill ladda ner mellancertifikaten kan du också använda CA-bunt nedladdningslänk.
Installation av mellanprodukter varierar beroende på serverplattform. För specifika instruktioner om hur du installerar de nödvändiga mellanliggande certifikaten på din server och skapar en komplett kedja, se vår dokumentation för certifikatinstallation.
Påverkan på installationen
När du laddar ner certifikat från ditt SSL.com-konto, se till att du använder de senaste mellanliggande certifikaten. Nedladdningslänken för CA-paketet i ditt konto kommer alltid att tillhandahålla korrekta, uppdaterade mellanliggande certifikat för din installation.
Moderna installationsmetoder
Automatisering är avgörande: Med minskande livslängd på certifikat blir manuell certifikathantering alltmer opraktisk. Överväg att implementera:
- Automatiserade system för certifikatförnyelse (ACME-protokoll klienter)
- Certifikatets livscykel hanteringsverktyg
- Övervakningssystem den varningen innan certifikatet löper ut
Plattformsöverväganden:
- Många webbhotellsleverantörer och CDN:er hanterar nu automatiskt installationen av mellanliggande certifikat
- Molnplattformar erbjuder ofta integrerade certifikathanteringstjänster
- För lokala installationer, se till att din förnyelseprocess inkluderar mellanliggande certifikatuppdateringar
Verifieringssteg – Verifiera alltid hela din certifikatkedja efter installationen:
- Testa från flera webbläsare och enheter
- Använd SSL-kontrollverktyg för att bekräfta kedjans fullständighet
- Kontrollera att certifikatets giltighetstid överensstämmer med ditt förnyelseschema
- Kontrollera att certifikaten endast innehåller lämpliga värden för utökad nyckelanvändning
Bekräfta Fix
Med alla stödcertifikat installerade på samma server som producerade "inte betrodda" -fel som visas ovan, SSL-kontroll visar en komplett kedja, och webbläsarens förtroendefel är borta:
Framtidssäkra din certifikathantering
Förbered dig för kortare livscykler
- Implementera automatiserade certifikathanteringssystem innan giltighetsperioden på 47 dagar träder i kraft 2029
- Upprätta övervakning och aviseringar för certifikatutgång
- Överväg att använda ACME-kompatibla certifikatutfärdare för sömlös automatisering
Separata autentiseringstyper
- Planera att separera serverautentiserings- och klientautentiseringscertifikat
- Granska aktuell certifikatanvändning för att identifiera certifikat med blandad användning
- Implementera dedikerad PKI hierarkier för olika certifikatändamål
Övervakning och underhåll
- Regelbundna granskningar av certifikatinventarier i hela er infrastruktur
- Automatiserad testning av certifikatkedjans fullständighet
- Dokumentation av certifikatberoenden och förnyelseprocedurer
Trenden mot kortare certifikatlivslängder och strängare användningskrav betonar den avgörande vikten av korrekt installation av mellanliggande certifikat och omfattande hantering av certifikatlivscykeln.
Korrekt installation av mellanliggande certifikat är fortfarande grundläggande för SSL/TLS säkerhet; landskapet fortsätter dock att utvecklas med kortare certifikatlivslängder och strängare webbläsarkrav.
Genom att följa aktuella bästa praxis, implementera lämplig automatisering och hålla dig informerad om branschförändringar kan du säkerställa att dina certifikat ger tillförlitlig säkerhet för dina användare.
För de senaste instruktionerna för certifikatinstallation och mellanliggande certifikatpaket, se alltid dokumentationen och nedladdningslänkarna i ditt SSL.com-konto, eftersom dessa regelbundet uppdateras för att återspegla de senaste kraven och CA-ändringarna.
Behöver hjälp? SSL.coms supportteam håller sig uppdaterat med alla branschförändringar och kan hjälpa till med certifikatinstallation, kedjekonfiguration och förberedelser för kommande krav. Kontakta oss på Support@SSL.com eller använd chattfunktionen längst ner till höger på den här sidan.
