Cadenas de certificados TLS: certificado final, intermedio y raíz

Normalmente, un servidor TLS presenta su certificado final y los intermedios necesarios para construir un camino hasta un ancla de confianza que el cliente ya tiene. La raíz no suele enviarse como prueba de sí misma: la confianza procede del almacén de confianza del cliente.

Cómo se construye la confianza en un certificado

La confianza en el certificado de un servidor se construye como una cadena que va desde el certificado del sitio, pasando por autoridades de certificación intermedias, hasta un certificado raíz en el que confía el cliente. El servidor suele enviar su propio certificado y los intermedios necesarios, pero no tiene por qué enviar el certificado raíz.

Cómo comprobar una cadena de certificados

Examine el certificado del nombre de host real: fechas de validez, nombres SAN e intermedios. Si un cliente confía en el sitio y otro no, compare sus almacenes de confianza y la cadena que envía el servidor; no se fíe de un intermedio que haya quedado en caché de una conexión anterior. Para comprobar la accesibilidad de forma independiente, utilice la comprobación de servicios de servidor de 2IP; la cadena de certificados debe revisarse por separado.

Por qué los clientes pueden no coincidir en la confianza

Referencia técnica: RFC 5280.