Диагностика сертификатов
Вставьте сертификаты PEM в любом порядке. После первого анализа можно выбрать целевой сертификат и сертификат CA в качестве якоря.
Локальная обработка без отправки сертификатов и запросов AIA, OCSP или CRL.
Вставьте сертификаты PEM.
Первый запуск заполнит списки. Выбирайте CA только как осознанный якорь текущей проверки, затем запустите её снова.
До 20 сертификатов PEM, 256 KiB ввода и 64 путей.
Вставьте сертификаты PEM.
Проверка цепочки сертификатов помогает разобраться с ошибкой издателя, когда набор файлов кажется полным. Совпадение имени указывает лишь на кандидата: его открытый ключ должен подтвердить подпись. Изучите реальные связи перед заменой конфигурации, а настройки доверия конкретного клиента рассматривайте отдельно от порядка сертификатов.
Проверка цепочки сертификатов использует открытый ключ каждого подходящего издателя. Два сертификата могут иметь одинаковое имя субъекта, но разные ключи. Отчёт сохраняет неудачных кандидатов рядом с подтверждёнными связями и не строит убедительно выглядящую цепочку только по именам.
Путь идёт от выбранного сертификата к издателям. Самоподписанный конец может замкнуть структуру, но не становится доверенным автоматически. Только явно выбранный сертификат CA из входного набора служит якорем для текущего запуска; по умолчанию якоря нет.
Копируйте каждый блок от BEGIN CERTIFICATE до END CERTIFICATE вместе с доступными промежуточными сертификатами. Закрытые ключи, запросы CSR и посторонний текст отклоняются. Исходные номера остаются в отчёте, поэтому предложенный порядок можно сопоставить с полученными материалами.
Списки заполняются распознанными сертификатами. Если конечных сертификатов несколько, укажите нужный и запустите анализ снова. Якорь необязателен и выбирается только среди CA того же набора. Этот выбор не меняет системное хранилище доверенных корней.
Отсутствующий издатель может быть промежуточным сертификатом или пропущенным корнем. JSON сохраняет диагностику. Упорядоченный PEM доступен лишь для одного полного пути, использующего весь ввод без выявленных проблем. После изменения текста или параметров анализ нужно повторить.
Для издателей с подходящим именем используется их открытый ключ. Результаты разделены на подтверждённую подпись, ошибку и неподдерживаемый алгоритм. Самоподписи тоже проверяются; невозможность выполнить операцию в браузере не превращается в успешную проверку по имени.
Для каждого блока доступны субъект, издатель, серийный номер, отпечаток SHA-256 и срок действия в UTC. Дубликаты определяются по полному кодированному сертификату. Совпадение имени при обновлении или перекрёстной подписи ещё не означает, что это один и тот же сертификат.
Проверяются истёкшие и будущие сроки, отсутствие издателя, признак CA, использование ключа для подписи сертификатов и длина пути. Повторяющиеся расширения и необработанные критические расширения отмечаются явно, без имитации полной политики проверки браузера.
Порядок сертификатов можно изучать без перезаписи редактора. JSON содержит все сертификаты, кандидатов, окончания путей и диагностические сообщения. Отдельные флаги показывают, что отзыв и системное доверие не проверялись, чтобы получатель отчёта понимал его границы.
Клиенты могут использовать разные хранилища доверия и способы получения промежуточных сертификатов. Сравните их настройки и набор, который отдаёт сервер. Эта страница анализирует только вставленный PEM и не воспроизводит автоматически поведение браузера или curl.
Сервер обычно отправляет конечный сертификат и промежуточные, а доверенный корень уже есть у клиента. Здесь корень может понадобиться для отображения полного локального пути. Экспортируемый PEM сохраняет все переданные сертификаты, включая корень, поэтому перед установкой проверьте требования сервера.
Нет. Без явно выбранного якоря даже путь с корректной самоподписью не получает доверия. Выбор CA показывает только достижимость этого конца. Доверие браузера, назначение сертификата и состояние отзыва требуют отдельных проверок.
Обычно проверяющий клиент не нашёл подходящего издателя среди доступных сертификатов или источников доверия. Здесь можно увидеть пропущенное звено либо кандидата с неверной подписью. Хранилище корней и конфигурация клиента, выдавшего ошибку, инструменту недоступны.
Нет. Информация об отзыве может измениться после выдачи сертификата, не меняя его подпись. В JSON явно записано, что эта проверка не проводилась. Для актуального состояния нужны подходящие источники OCSP или CRL; подтверждённая подпись не опровергает отзыв.
Нужно разобрать другой случай цепочки сертификатов?
Проверка цепочки сертификатов запускается повторно после добавления издателя или изменения якоря. Сопоставьте новый путь и диагностику с предыдущим отчётом, прежде чем заменять материалы в рабочей конфигурации.