Довідник термінів / certificate chain

Що таке ланцюжок сертифікатів

Ланцюжок сертифікатів - це послідовність сертифікатів, що звʼязує сертифікат вашого сайту з кореневим центром сертифікації, якому браузер довіряє від початку. Між ними стоять проміжні сертифікати. Якщо ланцюжок неповний, браузер не може підтвердити довіру і показує помилку, навіть коли сам сертифікат сайту дійсний.

Браузер довіряє не кожному сертифікату окремо, а лише невеликому списку кореневих центрів, вшитих у систему. Сертифікат вашого сайту підписаний проміжним центром, а той - кореневим. Браузер проходить цей ланцюжок від сайту до кореня і, якщо всі підписи сходяться, вважає сайт довіреним.

Ключова деталь - проміжні сертифікати. Сервер має віддавати їх разом із сертифікатом сайту. Якщо адміністратор забув доставити проміжний сертифікат, десктопні браузери іноді підтягують його самі, а от мобільні браузери та застосунки часто ні, і виникає помилка.

Типовий симптом неповного ланцюжка - сайт відкривається в одному браузері й не відкривається в іншому або в застосунку. Онлайн-перевірка SSL покаже, чи всі проміжні ланки на місці.

Приклад

leaf: example.com > R11 (intermediate) > ISRG Root X1

Часті помилки

• Встановлювати лише сертифікат сайту без проміжних. Тоді ланцюжок рветься, і частина клієнтів бачить помилку.
• Покладатися на те, що сайт відкрився у вашому браузері. Десктоп може добудувати ланцюжок сам, а телефон ні.
• Плутати кореневий і проміжний сертифікати. Кореневий уже є в браузері, доставляти треба проміжні.
• Ігнорувати попередження SSL-тесту про неповний ланцюжок, бо це лотерея, у кого сайт відкриється.

Повʼязані терміни

• SSL certificate Що таке SSL-сертифікат
• TLS Що таке TLS
• HTTPS Що таке HTTPS
• wildcard certificate Що таке wildcard-сертифікат
• Let's Encrypt Що таке Let's Encrypt