Главная/Проверка/Проверка цепочки
Как проверить цепочку сертификата
Чтобы проверить цепочку сертификата, посчитайте, сколько сертификатов отдаёт сервер: нужен сертификат сайта и все промежуточные, а корневой лежит у клиента. Если промежуточного нет, часть программ откажется доверять сайту, хотя в браузере на ноутбуке всё открывается.
Ответ за 30 секунд
Здоровая цепочка это сертификат сайта и один-два промежуточных, корневой сервер не присылает. Если сервер отдаёт один сертификат, цепочка неполная: ставьте файл fullchain вместо одиночного сертификата.
В линейке Таймвеб бесплатный Let's Encrypt и платные сертификаты GlobalSign, выпуск от 15 минут.
Где онлайн проверить цепочку SSL без команд2-3сертификата отдаёт сервер
20 и 21коды неполной цепочки
fullchainфайл с полной цепочкой
01 · 1 мин
Из чего состоит цепочка и что должен отдавать сервер#
Цепочка сертификатов это путь от вашего сайта до корня, которому доверяет система. Сертификат сайта подписан промежуточным центром, промежуточный подписан корневым, а корневой уже встроен в браузер или операционную систему.
| Звено | Кто его хранит |
|---|---|
| Сертификат сайта | Сервер, отдаёт при каждом подключении |
| Промежуточные | Сервер, отдаёт вместе с сертификатом сайта |
| Корневой | Клиент: список доверенных корней в системе или браузере |
Устройство цепочки и роль каждого звена объяснены на странице цепочка сертификатов. Здесь только проверка.
02 · 1 мин
Как посчитать сертификаты в цепочке командой openssl#
echo | openssl s_client -connect example.org:443 -servername example.org -showcerts 2>/dev/null | grep -c "BEGIN CERTIFICATE"Команда выводит число сертификатов, которые прислал сервер. Два или три означает нормальную цепочку. Единица означает, что промежуточные не отданы. Дальше посмотрите итоговую строку проверки:
openssl s_client -connect example.org:443 -servername example.org 2>/dev/null | grep "Verify return code"
# Verify return code: 0 (ok)Код 21 (unable to verify the first certificate) и 20 (unable to get local issuer certificate) указывают на разрыв цепочки. Остальные коды расшифрованы в разделе про проверку SSL через openssl.
03 · 1 мин
Как проверить цепочку в файле сертификата до установки#
Ошибку лучше поймать до того, как файл попал на сервер. Первая команда печатает владельца и издателя каждого сертификата в файле, вторая проверяет цепочку для сертификата сайта.
openssl crl2pkcs7 -nocrl -certfile fullchain.pem | openssl pkcs7 -print_certs -noout
openssl verify -untrusted intermediate.pem site.crtВ списке первым должен идти сертификат сайта, за ним промежуточный, у каждого следующего subject совпадает с issuer предыдущего. Перепутанный порядок тоже ломает проверку в строгих клиентах. Форматы файлов .pem, .crt и .cer разобраны на странице форматы сертификатов.
Инструмент · 1 мин
Где онлайн проверить цепочку SSL без команд#
Введите адрес сайта в SSL Labs (Qualys), и в отчёте найдите блок Certification Paths и строку Chain issues. «None» значит, что с цепочкой всё в порядке, «Incomplete» значит, что сервер не отдал промежуточный сертификат. Похожие проверки есть у других сервисов: обзор в статье про онлайн-проверку SSL.
Проверка цепочки по шагам
Отмечайте шаги по мере выполнения, подсказка покажет следующий
05 · 1 мин
Почему сайт открывается в браузере, а curl или Java ругаются на цепочку#
Chrome и браузеры на его основе умеют докачивать недостающий промежуточный сертификат по ссылке из самого сертификата (расширение AIA). Поэтому сайт без промежуточного на компьютере открывается. Curl, Python, Java и старые версии Android этого не делают и показывают ошибку.
Починка одна: отдавать сертификат сайта вместе с промежуточными. В Nginx это директива ssl_certificate с файлом fullchain.pem, в Apache файл с цепочкой указывают в SSLCertificateFile. Подробные конфиги: SSL на Nginx и SSL на Apache. Как выглядит ошибка у посетителя: ошибка недоверенного сертификата.
06 · 1 мин
Вопросы о проверке цепочки сертификата#
Сколько сертификатов должно быть в цепочке сайта?
Обычно два или три: сертификат сайта и один-два промежуточных. Корневой сервер не отправляет, он уже есть у клиента.
Что означает Chain issues Incomplete в отчёте SSL Labs?
Сервер не отдаёт промежуточный сертификат, и клиенты без запасного поиска не смогут построить путь до корня. Замените сертификат сайта файлом с полной цепочкой.
Как исправить неполную цепочку SSL на сервере?
Склейте сертификат сайта и промежуточные в один файл в правильном порядке (сайт первым) и укажите его в конфиге веб-сервера. Затем перезагрузите сервер и повторите проверку.
Почему этому можно верить
Как мы проверяли
Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026; OpenSSL: документация openssl-x509, docs.openssl.org/master/man1/openssl-x509, проверено 19 октября 2026.
Подключите SSL к сайту
От бесплатного Let's Encrypt до платных сертификатов GlobalSign с гарантийной выплатой и установкой под ключ. Любой можно вернуть за 7 дней.
- Бесплатный Let's Encrypt на домен
- Платные от 1 000 ₽ за 6 месяцев
- Wildcard на все поддомены
- 7 дней на возврат