Felsökning av certifikatkedjor

Vad är en certifikatkedja?

En SSL-certifikatkedja (certificate chain) är den sökväg webbläsaren följer från ditt servercertifikat upp till en betrodd rot-CA:

1. Servercertifikatet (din domän, t.ex. www.eksempel.dk)
2. Intermediate-certifikat (utfärdade av rot-CA, utfärdar i sin tur ditt certifikat)
3. Root CA-certifikat (förinstallerade i webbläsare och operativsystem)

Om ett mellanled saknas kan webbläsaren inte verifiera kedjan och visar då ett "untrusted certificate"-fel.

Vanliga symptom

• "Your connection is not private" / "NET::ERR_CERT_AUTHORITY_INVALID" (Chrome)
• "Warning: Potential Security Risk Ahead" (Firefox)
• Certifikatet fungerar i vissa webbläsare men inte i andra
• Mobila enheter visar fel medan desktop fungerar (desktop kan cacha intermediate-certifikat)
• SSL-scannern visar "Incomplete chain" eller "Missing intermediate"

Steg 1: Diagnostisera med onlineverktyg

Använd FairSSL:s SSL-scanner eller andra onlineverktyg för att verifiera kedjan:

• FairSSL SSL Scanner - visar hela certifikatkedjan och eventuella fel
• openssl s_client från kommandoraden (se nedan)

Steg 2: Verifiera med OpenSSL

openssl s_client -connect dit-domaene.dk:443 -servername dit-domaene.dk

Leta efter:

• Verify return code: 0 (ok) = kedjan är komplett
• Verify return code: 21 (unable to verify the first certificate) = intermediate saknas
• depth=0-raden visar ditt certifikat, depth=1 visar intermediate

Visa endast certifikatkedjan:

openssl s_client -connect dit-domaene.dk:443 -servername dit-domaene.dk -showcerts 2>/dev/null | openssl x509 -noout -subject -issuer

Steg 3: Hitta det saknade intermediate-certifikatet

Intermediate-certifikat levereras normalt av din certifikatutfärdare tillsammans med servercertifikatet. Om du saknar det:

1. Kontrollera e-postmeddelandet från utfärdaren efter en "CA Bundle" eller "Intermediate Certificate"-fil.
2. Ladda ner från utfärdarens supportsida:
   • GlobalSign: support.globalsign.com
   • DigiCert: digicert.com/kb
   • Sectigo: support.sectigo.com
3. Använd openssl x509 -in dit-certifikat.crt -noout -issuer för att se vem som utfärdat ditt certifikat, och hämta därefter rätt intermediate.

Steg 4: Installera intermediate-certifikatet

Apache / Nginx (Linux)

Slå ihop certifikaten i rätt ordning i en och samma fil:

cat dit-certifikat.crt intermediate.crt > fullchain.crt

I Apache används SSLCertificateChainFile, eller inkludera hela kedjan i SSLCertificateFile. I Nginx används den sammanslagna filen som ssl_certificate.

IIS / Windows

1. Öppna certlm.msc (eller MMC med Certificates snap-in).
2. Navigera till Intermediate Certification Authorities → Certificates.
3. Högerklicka → All Tasks → Import och välj intermediate-filen.

Steg 5: Verifiera åtgärden

openssl s_client -connect dit-domaene.dk:443 -servername dit-domaene.dk 2>/dev/null | grep "Verify return code"

Du bör nu se Verify return code: 0 (ok). Testa även från en mobil enhet och i inkognitoläge för att undvika cachade certifikat.

Förebyggande åtgärder

• Installera alltid intermediate-certifikat direkt vid konfiguration av ett nytt certifikat.
• Testa med FairSSL:s SSL Scanner direkt efter installation.
• Automatisera med ACME-klienter (Certbot, acme.sh) som hanterar kedjan automatiskt.
• Använd fullchain.pem (inte bara cert.pem) när du konfigurerar webbservern.