Reparador de cadena de certificados — ordenar y completar un paquete SSL

Porque falta el certificado intermedio en lo que envía su servidor. Los navegadores de escritorio esconden esto: cachean intermedios vistos en otros sitios y pueden descargar el que falte desde la dirección del certificado. Android, curl, Java, Python y la mayoría de clientes de API no hacen ninguna de las dos cosas, así que ven una cadena que nunca llega a una raíz de confianza y rechazan la conexión. Pegue aquí su cadena: si dice que falta un intermedio, ese es todo el fallo.

Primero el de servidor, luego el intermedio que lo emitió, luego el emisor de este, y así sucesivamente. La raíz se omite. Algunos servidores toleran otro orden, pero OpenSSL, Java y la mayoría de balanceadores no, así que la respuesta segura es siempre: el final primero.

No. Un cliente confía en una raíz porque está en su propio almacén, no porque un servidor se la haya enviado, así que una raíz por la red se ignora y solo añade uno o dos kilobytes a cada negociación. Es inofensivo pero inútil, y el archivo que produce esta herramienta la deja fuera.

De la autoridad de certificación, en la misma página donde recogió su certificado. A los usuarios de Let's Encrypt esto no suele pasarles, porque certbot escribe fullchain.pem con el intermedio ya incluido: si tiene configurado cert.pem en lugar de fullchain.pem, cambiar la ruta es la solución.

Un certificado de su archivo que ni emitió nada de lo que hay allí ni fue emitido por nada de allí. Suele ser un resto de un certificado anterior o una raíz pegada junto a una cadena que llega a otra raíz distinta. Por sí solo no rompe nada, pero indica que el archivo se montó a mano y conviene limpiarlo.