Главная/Что это/Цепочка сертификатов
Цепочка сертификатов SSL: от сайта до корня и зачем нужен fullchain
Цепочка сертификатов это ряд звеньев, по которому браузер доходит от сертификата сайта через промежуточный до корневого, который он уже знает. Сервер должен отдавать сертификат сайта вместе с промежуточными, то есть файл fullchain, иначе часть устройств покажет ошибку доверия.
Ответ за 30 секунд
Цепочка связывает сертификат сайта с корневым, которому доверяет браузер, через промежуточные звенья. Серверу нужно отдавать сертификат сайта вместе с промежуточными, корневой отдавать не надо. Файл fullchain.pem делает это за один шаг.
Бесплатный Let's Encrypt и платные сертификаты от 1 000 ₽ за 6 месяцев (Таймвеб, на 19 октября 2026).
Зачем нужен fullchain.pem и какой файл отдавать серверу3звена в обычной цепочке
fullchain.pemсертификат сайта плюс промежуточные
443порт, где сервер отдаёт цепочку
01 · 1 мин
Из каких звеньев состоит цепочка сертификатов#
| Звено | Кто подписал | Где лежит |
|---|---|---|
| Корневой сертификат | Сам себя | В списке доверенных системы и браузера, сервер его не отдаёт |
| Промежуточный сертификат | Корневой | На сервере вместе с сертификатом сайта |
| Сертификат сайта | Промежуточный | На сервере |
Промежуточных звеньев бывает больше одного. Они нужны потому, что закрытый ключ корня центр сертификации хранит отдельно от рабочих систем и почти не использует. Подписывают сайты промежуточные ключи, и при их проблеме отзывают одно звено, не меняя корень. Кто такой центр и как он проверяет заявки: центр сертификации. Где лежит корень: корневой сертификат.
02 · 1 мин
Как браузер идёт по цепочке сертификатов#
- Берёт сертификат сайта и читает в нём поле «Кем выдан».
- Ищет сертификат этого издателя среди присланных сервером, в своём кэше или в списке доверенных.
- Повторяет поиск звено за звеном, пока не найдёт корневой из списка доверенных.
- Проверяет на каждом звене подпись, срок действия и назначение сертификата.
Если звена не нашлось, соединение обрывается с ошибкой вроде NET::ERR_CERT_AUTHORITY_INVALID. Некоторые клиенты, например Chrome, умеют докачать недостающий промежуточный сертификат по ссылке из самого сертификата, а curl и OpenSSL нет. Поэтому сайт может открываться в браузере и давать ошибку в скрипте или приложении: разбор в статье сертификат не доверен.
Инструмент · 1 мин
Зачем нужен fullchain.pem и какой файл отдавать серверу#
Certbot после выпуска кладёт в папку домена четыре файла: privkey.pem (закрытый ключ), cert.pem (только сертификат сайта), chain.pem (только промежуточные) и fullchain.pem (сертификат сайта и промежуточные подряд). Серверу нужен последний, а ключ идёт отдельной строкой. В Nginx это выглядит так:
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;Какой файл отдавать серверу
Выберите файл, который у вас есть, и узнайте, подходит ли он
Пошаговая настройка: SSL в Nginx. Что означают расширения .pem, .crt и .key: форматы сертификатов.
04 · 1 мин
Как собрать цепочку вручную для платного сертификата#
Платные центры сертификации присылают сертификат сайта и отдельный файл с промежуточными (его называют ca-bundle или chain). Склейте их в один файл: первым идёт сертификат сайта, за ним промежуточные по порядку вверх, корневой в конец не добавляют.
cat domain.crt ca-bundle.crt > fullchain.crtПорядок важен: Nginx читает первым сертификат сайта, и если поставить его после промежуточных, сервер не запустится или отдаст неверную цепочку.
05 · 1 мин
Как увидеть цепочку своего сайта командой#
Команда покажет все сертификаты, которые сервер отдаёт при подключении:
openssl s_client -connect example.com:443 -servername example.com -showcertsВ выводе блок «Certificate chain» перечисляет звенья с номерами 0, 1, 2: строка s это владелец сертификата, строка i его издатель. У номера 0 издатель должен совпадать с владельцем номера 1. Онлайн-проверки и разбор вывода: проверка цепочки сертификатов.
06 · 1 мин
Вопросы о цепочке сертификатов#
Как сделать цепочку сертификатов SSL из отдельных файлов?
Склейте их в один файл командой cat: сначала сертификат сайта, затем промежуточные. Корневой сертификат в файл не добавляют.
Нужно ли отдавать корневой сертификат вместе с цепочкой?
Нет. Корневой сертификат уже есть в списке доверенных у клиента, а лишний файл только увеличивает объём передаваемых данных.
Сколько звеньев в цепочке сертификатов?
Обычно три: сертификат сайта, промежуточный и корневой. У некоторых центров промежуточных звеньев два и больше.
Почему сайт открывается в Chrome, а curl ругается на сертификат?
Chrome может докачать недостающий промежуточный сертификат сам, curl берёт только то, что отдал сервер. Исправление одно: отдавать на сервере сертификат вместе с промежуточными.
Почему этому можно верить
Как мы проверяли
Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026; Certbot: руководство пользователя (файлы privkey.pem, cert.pem, chain.pem, fullchain.pem), eff-certbot.readthedocs.io/en/stable/using.html, проверено 19 октября 2026; Таймвеб: SSL-сертификаты, линейка, цены, SHA-2 и 2048 бит (справка редакции на 19.10.2026), timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026.
Подключите SSL к сайту
От бесплатного Let's Encrypt до платных сертификатов GlobalSign с гарантийной выплатой и установкой под ключ. Любой можно вернуть за 7 дней.
- Бесплатный Let's Encrypt на домен
- Платные от 1 000 ₽ за 6 месяцев
- Wildcard на все поддомены
- 7 дней на возврат