Цепочка TLS-сертификатов: leaf, intermediate и root

Сервер TLS обычно передаёт leaf-сертификат и промежуточные сертификаты, необходимые клиенту для построения пути к доверенному корню. Корневой сертификат обычно уже находится в trust store клиента; его отправка сервером сама по себе не создаёт доверия.

Как браузер строит доверие к сертификату

Доверие к серверному сертификату строится как цепочка от сертификата сайта через промежуточные центры сертификации к корневому сертификату, которому доверяет клиент. Сервер обычно отправляет свой сертификат и необходимые промежуточные сертификаты, но не обязан передавать корневой.

Как проверить цепочку сертификатов

Проверьте сертификат именно для нужного hostname: срок действия, имена SAN и промежуточные сертификаты. Если один браузер доверяет сайту, а другой нет, сравните trust store и полноту цепочки — сервер не должен полагаться на случайно закешированный intermediate. Для независимой проверки доступности сервера используйте проверку сервера 2ip, а ланцюжок сертифікатів аналізуйте окремо.

Почему разные клиенты могут видеть разный результат

Технические источники: RFC 5280.