Назад | Перейти на главную страницу

Мой SSL-сертификат от LetsEncrypt не доверяет

В соответствии с https://www.digicert.com/help/, мой сертификат на https://sqless.ddns.net (моя веб-служба Apache XAMPP REST) не заслуживает доверия, потому что

SSL-сертификат не является доверенным

Сертификат не подписан доверенным центром (проверка по корневому хранилищу Mozilla). Если вы купили сертификат в доверенном центре, вероятно, вам просто нужно установить один или несколько промежуточных сертификатов. Обратитесь к поставщику сертификатов за помощью в этом для вашей серверной платформы.

Это странно, потому что и Google, и Firefox отображают зеленый замок, а также отметку «Безопасный» в Chrome.

я использовал этот учебник по настройке SSL на моем сервере. Это мои виртуальные хосты в C:\xampp\apache\conf\extra\httpd-vhosts.conf.

<VirtualHost *:80>
    ServerAdmin myemail@email.com
    ServerName sqless.ddns.net
    
    RewriteEngine On
    # Redirect to the HTTPS site
    RewriteCond %{HTTPS} off
    RewriteRule ^/?(.*)$ https://sqless.ddns.net/$1 [NE,L,R=301]
</VirtualHost>

<VirtualHost *:443>
    ServerAdmin myemail@email.com
    ServerName sqless.ddns.net
    
    RewriteEngine On
    # Redirect to the correct domain name
    RewriteCond %{HTTP_HOST} !^sqless.ddns.net$ [NC]
    RewriteRule ^/?(.*)$ https://sqless.ddns.net/$1 [NE,L,R=301]

    Alias /.well-known C:/xampp/htdocs/.well-known

    SSLEngine on
    SSLCertificateFile "C:/Users/Morgan/AppData/Roaming/letsencrypt-win-simple/httpsacme-v01.api.letsencrypt.org/sqless.ddns.net-crt.pem"
    SSLCertificateKeyFile "C:/Users/Morgan/AppData/Roaming/letsencrypt-win-simple/httpsacme-v01.api.letsencrypt.org/sqless.ddns.net-key.pem"
    SSLCertificateChainFile "C:/Users/Morgan/AppData/Roaming/letsencrypt-win-simple/httpsacme-v01.api.letsencrypt.org/sqless.ddns.net-crt.pem"
</VirtualHost>

Я использовал Win-Acme версии 1.8.0, которая находится здесь: https://github.com/PKISharp/win-acme/releases

Я что-то упускаю?

См. Этот отчет более подробно: https://www.ssllabs.com/ssltest/analyze.html?d=sqless.ddns.net который показывает "Цепочка сертификатов этого сервера неполная. Оценка ограничена до B.".

В частности, часть «Дополнительная загрузка» в «Пути сертификации». Ваш сервер должен отправить промежуточный ЦС. Что значит SSLCertificateChainFile не может быть просто тем же содержанием, что и в SSLCertificateFile.

Взгляните еще раз на цитируемое вами руководство, и вы увидите, что он показывает разницу, которую вы не уважали. Вы можете найти промежуточные сертификаты CA на их странице: https://letsencrypt.org/certificates/

Итак, в вашем SSLCertificateChainFile вам нужен, по порядку, сертификат-посредник, а затем сертификат CA. Как вы можете видеть из результатов SSLLabs, ваш окончательный сертификат был сгенерирован «Let's Encrypt X3» (промежуточный CA), который сам подписан «DST Root CA X3». Если вы пойдете в https://letsencrypt.org/certificates/ вы можете найти их обоих.

Вам нужно собрать их в один файл, один за другим. Тогда вы должны прийти к этому содержанию:

Прямо сейчас у вас есть цепочка, указывающая на тот же файл, что и ваш сертификат. Это не так.

SSLCertificateFile ".../sqless.ddns.net-crt.pem"
SSLCertificateChainFile ".../sqless.ddns.net-crt.pem"

Ваша цепочка должна быть указана на промежуточный сертификат.

https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem