Installation av mellanliggande certifikat

Översikt

Ett mellanliggande certifikat (även kallat CA-bundle) är länken i certifikatkedjan mellan serverns SSL-certifikat och den betrodda rot-CA:n. Saknas rätt mellanliggande certifikat på servern visar webbläsarna varningar som "Anslutningen är inte säker", även om själva certifikatet är giltigt.

Varför behövs mellanliggande certifikat?

Certifikatutfärdare (CA) arbetar i en hierarki:

1. Rot-CA (Root CA): högst upp i hierarkin, förinstallerad i webbläsare och operativsystem
2. Mellanliggande CA (Intermediate CA): signerad av rot-CA:n och signerar ditt certifikat
3. Ditt SSL-certifikat: signerat av den mellanliggande CA:n

Webbläsarna litar på rot-CA:n, men servern måste skicka med det mellanliggande certifikatet för att kedjan ska bli komplett. En rot-CA utfärdar sällan certifikat direkt, eftersom en komprometterad rotnyckel skulle rasera förtroendet för alla certifikat under den.

Så kontrollerar du om det mellanliggande certifikatet saknas

• Symptom i webbläsaren: "Anslutningen är inte privat" / "Not Secure" / "NET::ERR_CERT_AUTHORITY_INVALID" trots att certifikatet är giltigt
• Fungerar i Chrome men inte i Firefox: Chrome cachar mellanliggande certifikat från andra webbplatser, Firefox gör det inte. Fungerar sidan i Chrome men inte i Firefox saknas det mellanliggande certifikatet oftast på servern.
• Test online: Kontrollera kedjan med FairSSL:s SSL-scanner, Qualys SSL Labs eller SSLShopper

Steg 1: Hämta rätt mellanliggande certifikat

FairSSL skickar alltid med det mellanliggande certifikatet när certifikatet levereras. Du kan också hämta det från:

• FairSSL:s kontrollpanel: Klicka på "Download" under ditt certifikat och välj formatet som innehåller CA-bundle
• CA:ns certifikatarkiv: Sectigo, DigiCert och GlobalSign publicerar sina aktuella mellanliggande certifikat öppet

Steg 2: Installation på Windows Server (MMC)

1. Tryck Win+R, skriv mmc.exe och tryck Enter.
2. Välj File → Add/Remove Snap-in (Ctrl+M).
3. Välj Certificates → klicka på Add → välj Computer account → Local computer → Finish.
4. Gå till Intermediate Certification Authorities → Certificates.
5. Högerklicka på Certificates → All Tasks → Import.
6. Välj filen med det mellanliggande certifikatet (.crt, .cer eller .p7b) och följ guiden.
7. Kontrollera att certifikatet visas i listan och att utfärdaren är rätt rot-CA.

Viktigt: Importera det mellanliggande certifikatet i "Intermediate Certification Authorities", inte i "Trusted Root Certification Authorities".

Steg 3: Installation på Linux (Apache/Nginx)

På Linux anges det mellanliggande certifikatet i webbserverns konfiguration:

Apache:

# Placera filen med det mellanliggande certifikatet
sudo cp ca-bundle.crt /etc/ssl/certs/intermediate.crt

# I Apache VirtualHost:
SSLCertificateChainFile /etc/ssl/certs/intermediate.crt

Nginx:

# Nginx kräver att certifikatet och det mellanliggande certifikatet ligger i samma fil:
cat ditt-certifikat.crt intermediate.crt > /etc/ssl/certs/fullchain.crt

# I Nginx-konfigurationen:
ssl_certificate     /etc/ssl/certs/fullchain.crt;
ssl_certificate_key /etc/ssl/private/privkey.key;

Systemets certifikatlager (valfritt):

# Debian/Ubuntu
sudo cp intermediate.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

# RHEL/CentOS
sudo cp intermediate.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust

Steg 4: Verifiera certifikatkedjan

# Visa kedjan med OpenSSL
openssl s_client -connect www.exempel.se:443 -servername www.exempel.se < /dev/null 2>/dev/null

# Kedjan ska se ut ungefär så här:
# Certificate chain
#  0 s:CN = www.exempel.se
#    i:CN = Intermediate CA
#  1 s:CN = Intermediate CA
#    i:CN = Root CA

# Verifiera lokalt
openssl verify -CAfile root-ca.crt -untrusted intermediate.crt ditt-certifikat.crt
# Utdata ska vara: ditt-certifikat.crt: OK

Felsökning

• "unable to get local issuer certificate": Det mellanliggande certifikatet saknas på servern. Installera det enligt stegen ovan.
• Fel mellanliggande certifikat: CA:erna byter regelbundet mellanliggande certifikat. Kontrollera att du använder det som hör till ditt certifikats utfärdare. Utfärdaren står under "Issuer" i certifikatets detaljer.
• Ordningen i kedjan: I Nginx, och överallt där fullchain-filer används, kommer ditt certifikat först och därefter de mellanliggande certifikaten. Rotcertifikatet ska inte vara med.
• Fortfarande fel efter installationen: Starta om webbservern (sudo systemctl restart apache2 / nginx / iisreset) och töm webbläsarens cache.