Cadeia de certificados TLS: folha, intermediário e raiz

Normalmente, um servidor TLS apresenta o certificado folha e os intermediários necessários para montar um caminho até uma âncora de confiança que o cliente já possui. A raiz em geral não é enviada como prova de si mesma; a confiança vem do repositório de confiança do cliente.

Como a confiança no certificado é construída

A confiança no certificado de um servidor se forma como uma cadeia: do certificado do site, passando pelas autoridades certificadoras intermediárias, até um certificado raiz em que o cliente confia. O servidor normalmente envia o próprio certificado e os intermediários necessários, mas não precisa enviar o certificado raiz.

Como verificar uma cadeia de certificados

Examine o certificado do nome de host real: datas de validade, nomes SAN e intermediários. Se um cliente confia no site e outro não, compare os repositórios de confiança deles e a cadeia enviada pelo servidor; não conte com um intermediário guardado em cache anteriormente. Para uma verificação independente de alcançabilidade, use a verificação de serviços ativos da 2IP; a cadeia de certificados deve ser examinada à parte.

Por que os clientes podem discordar sobre a confiança

Referência técnica: RFC 5280.