إصلاح سلسلة الشهادات — ترتيب حزمة SSL وإكمالها

لأن الشهادة الوسيطة مفقودة مما يرسله خادمك. متصفحات سطح المكتب تخفي ذلك: فهي تخزّن الوسيطات التي رأتها على مواقع أخرى، وتستطيع تنزيل المفقودة من العنوان المذكور في الشهادة. أما أندرويد وcurl وجافا وبايثون ومعظم عملاء الواجهات البرمجية فلا تفعل أيًّا منهما، فترى سلسلة لا تصل إلى جذر موثوق وترفض الاتصال. الصق سلسلتك هنا: إن قيل إن وسيطة مفقودة فتلك هي العلة كلها.

شهادة الخادم أولًا، ثم الوسيطة التي أصدرتها، ثم مُصدِّر تلك الوسيطة، وهكذا. والجذر يُحذف. بعض الخوادم تتساهل مع ترتيب آخر، لكن OpenSSL وجافا ومعظم موزعات الحمل لا تتساهل، فالجواب الآمن دائمًا هو «الشهادة النهائية أولًا».

لا. العميل يثق بالجذر لأنه في مخزنه هو، لا لأن خادمًا أرسله — فالجذر عبر الشبكة يُتجاهل ولا يزيد إلا كيلوبايت أو اثنين على كل مصافحة. غير ضار لكنه بلا فائدة، والملف الذي تنتجه هذه الأداة يحذفه.

من سلطة التصديق، في الصفحة نفسها التي استلمت منها شهادتك. ومستخدمو Let's Encrypt لا يواجهون هذا عادةً، لأن certbot يكتب fullchain.pem والوسيطة مضمّنة فيه — فإن كنت قد ضبطت cert.pem بدل fullchain.pem فتغيير المسار هو الحل.

شهادة في ملفك لم تُصدر شيئًا مما فيه ولم يُصدرها شيء مما فيه. غالبًا بقية من شهادة سابقة، أو جذر مُلصق بجوار سلسلة تنتهي إلى جذر آخر. لا تُعطّل شيئًا بذاتها، لكنها تدل على أن الملف جُمِّع يدويًا ويستحق التنظيف.