Zertifikatsketten und Zwischenzertifikate

Das Wichtigste

Installieren Sie das Endzertifikat mit den benötigten Zwischenzertifikaten. Auch ein korrektes Dateipaket muss auf dem Server installiert und geprüft werden.

So funktioniert die Kette

Das Endzertifikat wird von einer Zwischen-CA signiert. Bis zu einer vom Client akzeptierten Wurzel können mehrere Zwischenzertifikate nötig sein. Der Client erstellt und prüft den Pfad. Korrekte Signaturen allein machen eine hochgeladene Wurzel nicht vertrauenswürdig.

Warum Vertrauensfehler auftreten

Fehlende Zwischenzertifikate können je Client unterschiedliche Ergebnisse verursachen, weil manche Clients Aussteller zwischengespeichert haben oder sie nachladen. Auch Ablauf, falscher Hostname oder ein fehlendes Stammzertifikat im Client-Speicher können stören. Lesen Sie den Fehler vor dem Austausch von Dateien.

Kette installieren und prüfen

Installieren Sie Endzertifikat und benötigte Zwischenzertifikate in der vom Server erwarteten Reihenfolge und im passenden Format. Ein TLS-Server sendet normalerweise zuerst das Endzertifikat und danach die Zwischenzertifikate. Die Wurzel muss er nicht mitsenden. Prüfen Sie bei einem CDN sowohl das öffentliche Zertifikat als auch den separat eingerichteten Ursprungsserver.

Praxisbeispiel

Auf dem Laptop funktioniert es, im API-Client nicht

Möglicherweise sendet der Server nur das Endzertifikat. Ein Browser mit zwischengespeichertem Zwischenzertifikat kann sich verbinden, ein anderer Client findet keinen vertrauenswürdigen Pfad. Prüfen Sie die Kette, bevor Sie ein neues Zertifikat kaufen.

Endzertifikat: Identifiziert Ihren Hostnamen und muss zum installierten privaten Schlüssel passen.
Zwischenzertifikate: Verbinden das Endzertifikat mit einer vertrauenswürdigen Wurzel und werden normalerweise vom Server mitgesendet.
Vertrauenswürdiges Stammzertifikat: Vertrauen stammt aus dem Zertifikatsspeicher des Clients. Hochladen allein macht eine Wurzel nicht vertrauenswürdig.
PEM oder PFX: Das Format hängt vom Server ab. PFX kann den privaten Schlüssel enthalten und ist dann vertraulich.

Ihre nächsten Schritte

Untersuchen Sie zuerst den betroffenen öffentlichen Endpunkt mit der SSL-Prüfung.
Erstellen Sie bei fehlenden Zwischenzertifikaten die Kette aus dem ausgestellten Zertifikat und prüfen Sie das Ergebnis der Kettenermittlung.
Installieren Sie Endzertifikat und Zwischenzertifikate im benötigten Format und prüfen Sie den Endpunkt erneut.

Werkzeuge für diese Aufgabe

Nächster Ratgeber Verlängerung oder Neuausstellung: der Unterschied