Ланцюжок TLS-сертифікатів: leaf, intermediate і root

Сервер TLS зазвичай передає leaf-сертифікат і проміжні сертифікати, потрібні клієнту для побудови шляху до довіреного кореня. Кореневий сертифікат зазвичай уже є в trust store клієнта; його надсилання сервером саме по собі не створює довіри.

Як браузер будує довіру до сертифіката

Довіра до серверного сертифіката будується як ланцюжок від сертифіката сайту через проміжні центри сертифікації до кореневого сертифіката, якому довіряє клієнт. Сервер зазвичай надсилає свій сертифікат і потрібні проміжні сертифікати, але не зобов’язаний передавати кореневий.

Як перевірити ланцюжок сертифікатів

Перевірте сертифікат саме для потрібного hostname: термін дії, імена SAN та проміжні сертифікати. Якщо один браузер довіряє сайту, а інший ні, порівняйте trust store і повноту ланцюжка — сервер не повинен покладатися на випадково закешований intermediate. Для незалежної перевірки доступності сервера використайте перевірку сервера 2ip, а цепочку сертификатов анализируйте отдельно.

Чому різні клієнти можуть бачити різний результат

Технічні джерела: RFC 5280.