Как проверить цепочку сертификата: термины и чек-лист

Подробности, цифры, термины и чек-лист по теме «Как проверить цепочку сертификата». Страница справочника целиком: Проверить цепочку сертификата.

Коротко о теме

Проверить цепочку сертификата можно командами s_client и verify или онлайн: сколько сертификатов должен отдавать сервер и как найти разрыв.

Подробности по разделам

Из чего состоит цепочка и что должен отдавать сервер

Здесь только проверка.

Как посчитать сертификаты в цепочке командой openssl

Дальше посмотрите итоговую строку проверки: Код 21 (unable to verify the first certificate) и 20 (unable to get local issuer certificate) указывают на разрыв цепочки. Остальные коды расшифрованы в разделе про проверку SSL через openssl.

Как проверить цепочку в файле сертификата до установки

Перепутанный порядок тоже ломает проверку в строгих клиентах. Форматы файлов.pem,.crt и.cer разобраны на странице форматы сертификатов.

Где онлайн проверить цепочку SSL без команд

Отмечайте шаги по мере выполнения, подсказка покажет следующий

Почему сайт открывается в браузере, а curl или Java ругаются на цепочку

Починка одна: отдавать сертификат сайта вместе с промежуточными. В Nginx это директива ssl_certificate с файлом fullchain.pem, в Apache файл с цепочкой указывают в SSLCertificateFile. Подробные конфиги: SSL на Nginx и SSL на Apache.

Ключевые цифры

Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026; OpenSSL: документация openssl-x509, docs.openssl.org/master/man1/openssl-x509, проверено 19 октября 2026.

Термины на странице

Цепочка сертификатов: Цепочка сертификатов связывает сертификат сайта с корневым через промежуточные. Без промежуточного часть браузеров покажет ошибку.
PEM: PEM это текстовый формат файлов сертификатов и ключей, файлы .crt и .key часто в нём же.
Apache: Apache это веб-сервер. На хостинге с ним работают файлы .htaccess.
Python: Python это язык программирования. На сервере на нём часто пишут ботов и скрипты.
SSL-сертификат: SSL-сертификат подтверждает, что сайт принадлежит владельцу домена, и позволяет шифровать соединение.
Let's Encrypt: Let's Encrypt выпускает бесплатные DV-сертификаты на 90 дней с автоматическим продлением.

Что проверить

Выпустите сертификат после того, как домен указывает на сервер.
Проверьте, что установлена вся цепочка сертификатов.
Включите перенаправление с HTTP на HTTPS.
Выберите конфигурацию по памяти и диску под задачу, процессор обычно вторичен.
Проверьте тип виртуализации: KVM даёт свою систему и гарантированные ресурсы.
Уточните, входит ли IPv4 и сколько стоит трафик сверх пакета.