Bezpośrednie linki do root i intermediate CA: Certum, DigiCert, Sectigo, GlobalSign.
Root CA (Certificate Authority) to certyfikat-korzeń zaufanego wystawcy, na którym bazują wszystkie certyfikaty SSL wystawione przez tego CA. Systemy operacyjne i przeglądarki mają wbudowaną listę zaufanych root CA. Czasem trzeba jednak ręcznie zainstalować root lub intermediate CA — np. dla starszych systemów, aplikacji Java/Android, IoT, lub gdy budujesz własny truststore dla API.
Budowanie fullchain.pem dla Nginx/Apache — potrzebujesz intermediate.
Aplikacje mobilne i Javy potrzebują lokalnego truststore z root CA.
Windows 7, stare Androidy nie mają nowych root CA — trzeba dodać ręcznie.
Curl, wget, Python requests — część z nich ma własny bundle CA.
Certyfikat SSL nie jest podpisany bezpośrednio przez Root CA — w chain jest zawsze warstwa pośrednia (intermediate).
Certyfikat-fundament zaufania. Self-signed (podpisany własnym kluczem prywatnym). Klucz prywatny Root CA jest offline, trzymany w hardware security module (HSM) — używa się go raz na dekadę.
Certyfikat pośredni wystawiony przez Root CA. To on podpisuje Twój końcowy certyfikat SSL. Może być wielopoziomowy (intermediate → intermediate → endpoint).
ISRG Root X1 (root) → Let's Encrypt R3 (intermediate) → example.com (twój cert)
.crt / .cer / .pem$ sudo cp certyfikat.pem /usr/local/share/ca-certificates/nazwa.crt
$ sudo update-ca-certificates$ sudo cp certyfikat.pem /etc/pki/ca-trust/source/anchors/
$ sudo update-ca-trust.pem do okna$ keytool -import -trustcacerts -alias nazwa \
-file certyfikat.pem \
-keystore $JAVA_HOME/lib/security/cacerts \
-storepass changeitTak — każdy link prowadzi bezpośrednio do oficjalnej strony wystawcy (repository.certum.pl, digicert.com, letsencrypt.org itd.). Nie hostujemy certyfikatów u siebie, żebyś miał pewność że pobierasz oryginał prosto od źródła.
PEM (text, base64, z nagłówkiem -----BEGIN CERTIFICATE-----) to standardowy format dla Linux, Apache, Nginx, openssl. DER (binary) używany głównie przez Windows i Java. Konwersja między nimi: nasz konwerter albo openssl x509 -inform DER -outform PEM -in cert.der -out cert.pem.
Najczęstsze powody: (1) Zainstalowałeś Root, ale brakuje Intermediate CA — zawsze potrzebujesz obu. (2) Cache truststore — zrestartuj proces/serwer po instalacji. (3) Zła ścieżka — pliki .crt na Linuksie muszą być w /usr/local/share/ca-certificates/ z rozszerzeniem .crt.
Linux (system-wide):
$ awk -v cmd='openssl x509 -noout -subject' \
'/BEGIN/{close(cmd)};{print | cmd}' < /etc/ssl/certs/ca-certificates.crtJava:
$ keytool -list -keystore $JAVA_HOME/lib/security/cacerts -storepass changeitTak — firmy często mają wewnętrzne CA dla testowych środowisk, intranet, VPN. Instalacja jest identyczna jak dla publicznych Root CA opisana wyżej. W Linuxie warto dać mu distinctive nazwę (np. company-internal-ca.crt) żeby odróżniać od publicznych.
Niezbędne cookies są zawsze włączone. Dodatkowo używamy cookies analitycznych (Google Analytics) i marketingowych — ale tylko za Twoją zgodą. Szczegóły w Polityce cookies.