TLS証明書チェーン：サーバー証明書、中間証明書、ルート証明書

TLSサーバーは通常、サーバー証明書（リーフ証明書）と、クライアントがすでに持っているトラストアンカーまでの経路を組み立てるのに必要な中間証明書を提示します。ルート証明書は、それ自体の証明として送られることは通常ありません。信頼の根拠は、クライアントのトラストストアにあります。

証明書の信頼が成り立つ仕組み

サーバー証明書への信頼は、サイトの証明書から中間認証局を経て、クライアントが信頼するルート証明書へとつながるチェーンとして構築されます。サーバーは通常、自身の証明書と必要な中間証明書を送りますが、ルート証明書を送る必要はありません。

証明書チェーンを確認する方法

実際のホスト名について、証明書の有効期間、SANに含まれる名前、中間証明書を確認します。あるクライアントはサイトを信頼し、別のクライアントは信頼しない場合は、それぞれのトラストストアとサーバーが送っているチェーンを比較してください。以前キャッシュされた中間証明書を当てにしてはいけません。到達性は2IPの「サーバーで稼働中のサービスを確認」ツールで別に確認し、証明書チェーンは別途確認しましょう。

クライアントによって信頼の判断が分かれる理由

技術資料：RFC 5280