Felsökning av certifikatkedjor

Vad är en certifikatkedja?

En certifikatkedja är den väg webbläsaren följer från ditt servercertifikat upp till en betrodd rot-CA:

1. Servercertifikatet (din domän, t.ex. www.exempel.se)
2. Mellanliggande certifikat (utfärdade av rot-CA:n, utfärdar i sin tur ditt certifikat)
3. Rotcertifikat (förinstallerade i webbläsare och operativsystem)

Om ett mellanled saknas kan webbläsaren inte verifiera kedjan och visar då ett "untrusted certificate"-fel.

Vanliga symptom

• "Your connection is not private" / "NET::ERR_CERT_AUTHORITY_INVALID" (Chrome)
• "Warning: Potential Security Risk Ahead" (Firefox)
• Certifikatet fungerar i vissa webbläsare men inte i andra
• Mobila enheter visar fel medan datorer fungerar (datorer kan ha mellanliggande certifikat i cache)
• SSL-scannern visar "Incomplete chain" eller "Missing intermediate"

Steg 1: Diagnostisera med onlineverktyg

Använd FairSSL:s SSL-scanner eller andra onlineverktyg för att verifiera kedjan:

• FairSSL SSL Scanner: visar hela certifikatkedjan och eventuella fel
• openssl s_client från kommandoraden (se nedan)

Steg 2: Verifiera med OpenSSL

openssl s_client -connect dit-domaene.dk:443 -servername dit-domaene.dk

Leta efter:

• Verify return code: 0 (ok) = kedjan är komplett
• Verify return code: 21 (unable to verify the first certificate) = mellanliggande certifikat saknas
• depth=0-raden visar ditt certifikat, depth=1 visar det mellanliggande certifikatet

Visa endast certifikatkedjan:

openssl s_client -connect dit-domaene.dk:443 -servername dit-domaene.dk -showcerts 2>/dev/null | openssl x509 -noout -subject -issuer

Steg 3: Hitta det saknade mellanliggande certifikatet

Mellanliggande certifikat levereras normalt av certifikatutfärdaren tillsammans med servercertifikatet. Om du saknar det:

1. Leta i e-postmeddelandet från utfärdaren efter en fil med namnet "CA Bundle" eller "Intermediate Certificate".
2. Ladda ner det från utfärdarens supportsida:
   • GlobalSign: support.globalsign.com
   • DigiCert: digicert.com/kb
   • Sectigo: support.sectigo.com
3. Använd openssl x509 -in dit-certifikat.crt -noout -issuer för att se vem som har utfärdat certifikatet, och hämta sedan rätt mellanliggande certifikat.

Steg 4: Installera det mellanliggande certifikatet

Apache / Nginx (Linux)

Slå ihop certifikaten i rätt ordning i en och samma fil:

cat dit-certifikat.crt intermediate.crt > fullchain.crt

I Apache anger du SSLCertificateChainFile eller lägger hela kedjan i SSLCertificateFile. I Nginx används den sammanslagna filen som ssl_certificate.

IIS / Windows

1. Öppna certlm.msc (eller MMC med snapin-modulen Certificates).
2. Gå till Intermediate Certification Authorities → Certificates.
3. Högerklicka → All Tasks → Import och välj filen med det mellanliggande certifikatet.

Steg 5: Kontrollera resultatet

openssl s_client -connect dit-domaene.dk:443 -servername dit-domaene.dk 2>/dev/null | grep "Verify return code"

Du bör nu se Verify return code: 0 (ok). Testa även från en mobil enhet och i inkognitoläge för att undvika cachade certifikat.

Förebyggande åtgärder

• Installera alltid mellanliggande certifikat när du konfigurerar ett nytt certifikat.
• Testa med FairSSL:s SSL Scanner direkt efter installationen.
• Automatisera med ACME-klienter (Certbot, acme.sh) som hanterar kedjan åt dig.
• Använd fullchain.pem (inte bara cert.pem) när du konfigurerar webbservern.