Что такое CA Bundle в SSL и как его создать?

Вы устанавливаете SSL-сертификат на свой сервер и вдруг застряли. Конфигурация запрашивает файл«CA Bundle«, а Вы не знаете, что это такое и где его найти. Вы не одиноки — подобная ситуация ставит в тупик многих людей во время установки SSL.

CA Bundles — это совсем не сложно, если Вы поймете, что они делают. В этом руководстве мы расскажем , что такое CA Bundle, зачем он нужен Вашему серверу и как создать или получить его всего за несколько минут. В конце Вы сможете уверенно работать с CA Bundles и избегать досадных ошибок «сертификат не доверен».

---

Оглавление

1. Что такое CA Bundle?
2. Почему пакет CA имеет значение для безопасности SSL
3. Как получить свой пакет CA
4. Как создать пакет CA
5. Проверка Вашего пакета CA
6. Установка пакета CA на Ваш сервер
7. Общие проблемы с пучком CA и их решения
8. Лучшие практики работы с пакетами CA

---

---

Что такое CA Bundle?

Пакет CA Bundle — это один файл, содержащий промежуточные и корневые сертификаты от Вашего центра сертификации. В сочетании с сертификатом Вашего сервера он завершает цепочку доверия SSL-сертификатов — последовательность сертификатов, которые браузеры используют для проверки легитимности Вашего сайта.

Подумайте об этом так: в сертификате Вашего сервера написано «Я — example.com», но браузерам нужны доказательства. CA Bundle обеспечивает это доказательство, показывая доверенный путь от Вашего сертификата до корневого сертификата, которому браузеры уже доверяют.

Большинство SSL-сертификатов требуют наличия пакета CA Bundle (главное исключение — сертификаты формата PKCS#7, которые уже включают в себя пакет). Без него браузеры не могут проверить подлинность Вашего сертификата, что приводит к появлению предупреждений о безопасности, отталкивающих посетителей.

Компоненты CA Bundle

Типичный пакет CA содержит два типа сертификатов:

1. Промежуточные сертификаты. Это сертификаты, выданные центром сертификации, чтобы преодолеть разрыв между сертификатом Вашего сервера и корневым сертификатом. Крупные центры сертификации, такие как Sectigo и DigiCert, часто используют несколько промежуточных сертификатов, чтобы распределить нагрузку по подписанию сертификатов и управлять различными типами сертификатов.
2. Корневые сертификаты. Это сертификаты верхнего уровня в цепочке доверия. Браузеры и операционные системы поставляются с корневыми сертификатами от доверенных центров сертификации. Когда браузер видит корневой сертификат, который он распознает, он знает, что вся цепочка сертификатов действительна.

Сам файл обычно имеет расширение .pem, .crt или .ca-bundle. Внутри Вы найдете сертификаты в формате PEM — блоки текста, начинающиеся с ——BEGIN CERTIFICATE—— и заканчивающиеся ——END CERTIFICATE——.

Цепочка доверия сертификатов

Вот как цепочка сертификатов SSL работает на практике:

1. Сертификат сервера (сертификат Вашего сайта) — Содержит Ваше доменное имя и открытый ключ
2. Промежуточный сертификат(ы) (из пакета ЦС) — Подписан корневым ЦС, подписывает Ваш сертификат
3. Корневой сертификат (из CA Bundle) — предварительно доверенный браузерами и операционными системами

Когда кто-то посещает Ваш сайт по протоколу HTTPS, его браузер выполняет рукопожатие SSL. Во время этого процесса браузер проверяет каждое звено в цепочке, начиная с сертификата Вашего сервера и продвигаясь к доверенному корню. Это PKI (Инфраструктура открытых ключей) в действии.

Если какое-либо звено в этой цепочке отсутствует — обычно из-за того, что CA Bundle не был установлен, — браузер не может завершить проверку. Результат? Предупреждения о безопасности, такие как «Ваше соединение не является приватным» или «Сертификат не заслуживает доверия».

---

Почему пакет ЦС имеет значение для безопасности SSL

Пакет CA Bundle выполняет несколько важных функций, помимо простого отображения значка замка.

Совместимость с браузерами
Различные браузеры и операционные системы содержат разные хранилища доверия сертификатов. Ваш CA Bundle обеспечивает совместимость браузеров настольных компьютеров, мобильных устройств, почтовых клиентов и инструментов API. Это особенно важно для старых версий браузеров, в которых могут отсутствовать последние промежуточные сертификаты.

Защита от угроз безопасности
Правильно настроенный CA Bundle помогает предотвратить атаки типа «человек посередине», проверяя подлинность сертификата на нескольких уровнях. Цепочка сертификатов делает подделку практически невозможной, поскольку каждый сертификат криптографически подписан вышестоящим.

Соответствие требованиям
Многие отрасли требуют правильной настройки SSL/TLS:

• PCI DSS требует безопасной передачи данных о держателях карт
• GDPR предписывает соответствующие меры безопасности для персональных данных
• HIPAA требует безопасной передачи медицинской информации

Отсутствующий или неправильно настроенный CA Bundle может вывести Вас из соответствия, даже если сам Ваш сертификат действителен.

---

Как получить свой пакет CA

Вам не нужно каждый раз создавать CA Bundle с нуля. Вот основные способы его получения:

1. Из Вашего центра сертификации
Когда Вы приобретаете SSL-сертификат у таких провайдеров, как Sectigo, DigiCert или GeoTrust, они обычно предоставляют CA Bundle вместе с сертификатом Вашего сервера. Для клиентов SSL Dragon Вы найдете CA Bundle в панели сертификатов сразу после выдачи.

2. Загрузите из официальных репозиториев ЦС
Большинство крупных центров сертификации ведут публичные репозитории, где можно скачать корневые и промежуточные сертификаты. Sectigo, DigiCert, Let’s Encrypt и другие центры сертификации публикуют свои цепочки сертификатов на своих сайтах поддержки.

3. Извлечение из хранилища сертификатов
Операционные системы содержат хранилища сертификатов, к которым Вы можете получить доступ:

• Windows: Используйте certmgr.msc для доступа к менеджеру сертификатов
• Linux/macOS: Каталог /etc/ssl/certs/

---

Как создать бандл CA (пошаговое руководство)

Иногда Вам нужно создать CA Bundle вручную — возможно, Вы получили только отдельные файлы сертификатов. Вот как правильно это сделать.

Пререквизиты

Прежде чем начать, убедитесь, что у Вас есть:

• Ваш файл(ы) промежуточного сертификата
• Ваш файл корневого сертификата
• Текстовый редактор (Notepad++, nano, vim или даже обычный блокнот)

Способ 1: Использование текстового редактора

Этот метод работает на любой платформе и не требует технических знаний.

Шаг 1: Найдите файлы Ваших сертификатов

Найдите файлы сертификатов, предоставленные Вашим ЦС. Вам нужны промежуточный и корневой сертификаты, а не сертификат Вашего сервера. Эти файлы обычно имеют расширения .crt, .pem или .cer.

Шаг 2: Откройте каждый сертификат

Откройте Ваш промежуточный сертификат в текстовом редакторе. Вы увидите такое содержание, как:

-----BEGIN CERTIFICATE-----
MIIGEzCCA/ugAwIBAgIQfVtRJrR2uhHbdBYLvFMNpzANBgkqhkiG9w0BAQwFADCB
[many lines of encoded data]
-----END CERTIFICATE-----

Важными частями являются заголовок ——BEGIN CERTIFICATE—— и нижний колонтитул ——END CERTIFICATE——. Убедитесь, что они присутствуют и заполнены.

Шаг 3: Создайте файл Вашего бандла

Создайте новый пустой файл в Вашем текстовом редакторе. Назовите его yourdomain.ca-bundle или ca-bundle.crt. Расширение не имеет большого значения — Вы можете использовать .pem, .crt или .ca-bundle.

Шаг 4: Скопируйте сертификаты в правильном порядке

Это критический шаг. Порядок должен быть таким:

1. Первый: Ваш промежуточный сертификат (тот, которым непосредственно подписан сертификат Вашего сервера).
2. Второй: Любые дополнительные промежуточные сертификаты (если у Вас их несколько).
3. Последнее: корневой сертификат

Скопируйте каждый сертификат полностью, включая строки BEGIN и END. Не добавляйте лишних пробелов или пустых строк между сертификатами.

Вот как выглядит правильный бандл CA:

-----BEGIN CERTIFICATE-----
[Intermediate Certificate 1]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[Root Certificate]
-----END CERTIFICATE-----

Шаг 5: Сохраните файл

Сохраните Ваш файл с кодировкой UTF-8. Дважды проверьте, что каждый сертификат начинается с ——BEGIN CERTIFICATE—— и заканчивается ——END CERTIFICATE—— без лишних пробелов.

Способ 2: Использование командной строки

Если Вы умеете работать с командной строкой, Вы сможете создать CA Bundle за считанные секунды.

Linux/macOS:

cat intermediate.crt root.crt > ca-bundle.crt

Командная строка Windows:

copy /b intermediate.crt + root.crt ca-bundle.crt

Эти команды объединяют файлы сертификатов по порядку. Убедитесь, что Вы перечислили их в правильной последовательности: сначала промежуточные сертификаты, затем корневой сертификат.

Общие ошибки, которых следует избегать

• Неправильный порядок сертификатов — Самая распространенная ошибка — ставить корневой сертификат первым.
• Лишние пробелы — не добавляйте пустые строки между сертификатами
• Отсутствующие заголовки — Скопируйте весь блок сертификата, включая строки BEGIN/END.
• Включая сертификат Вашего сервера — Пакет ЦС должен содержать только промежуточные и корневые сертификаты

---

---

Проверка Вашего пакета CA

Прежде чем устанавливать CA Bundle на рабочий сервер, убедитесь в его правильности.

Использование OpenSSL

OpenSSL — это стандартный инструмент для работы с SSL-сертификатами:

openssl verify -CAfile ca-bundle.crt your-server-certificate.crt

Если все правильно, Вы увидите:

your-server-certificate.crt: OK

Если возникла проблема, OpenSSL сообщит Вам, в чем дело, например, об отсутствии сертификатов или неправильном заказе.

Использование онлайновых инструментов для проверки SSL

SSL Dragon предлагает бесплатный инструмент SSL Checker, который проверяет цепочку Ваших сертификатов. Как только Ваш сертификат будет установлен, инструмент:

• Показать полную цепочку сертификатов
• Определите все недостающие промежуточные сертификаты
• Проверьте дату истечения срока действия сертификата
• Проверьте совместимость с различными браузерами

---

Установка пакета CA на Ваш сервер

Процесс установки зависит от платформы. Вот краткий обзор:

Apache. Используйте директиву SSLCertificateChainFile:

SSLCertificateChainFile /path/to/ca-bundle.crt

Nginx. Укажите доверенный сертификат:

ssl_trusted_certificate /path/to/ca-bundle.crt;

cPanel/WHM. С помощью веб-интерфейса вставьте бандл Вашего ЦС в поле «Certificate Authority Bundle».

IIS (Windows Server). Импортируйте промежуточные сертификаты в «Промежуточные центры сертификации» и корневые сертификаты в «Доверенные корневые центры сертификации» с помощью Менеджера сертификатов.

Для получения подробных руководств по установке, специфичных для Вашей серверной среды, ознакомьтесь с документацией по установке SSL Dragon.

---

Общие проблемы с пучком CA и их решения

Проблема 1: Ошибка «Цепочка сертификатов неполная»

Симптомы: Инструменты тестирования SSL сообщают об отсутствии промежуточного сертификата, или некоторые браузеры выдают предупреждения.

Решение: Загрузите полный пакет сертификатов с сайта Вашего ЦС. Убедитесь, что Вы включили ВСЕ промежуточные сертификаты, а не только один. Убедитесь, что порядок следования правильный.

Проблема 2: Неправильный заказ сертификата

Симптомы: Ошибки проверки сертификата или периодические предупреждения SSL в браузерах.

Решение: Переставьте сертификаты таким образом, чтобы сертификат, которым подписан Ваш сервер, был первым, а корневой сертификат — последним. Сохраните и заново загрузите на свой сервер.

Проблема 3: Путаница с форматом PKCS#7

Симптомы: Вы получили файл .p7b и не уверены, нужен ли Вам CA Bundle.

Решение: Файлы PKCS#7 (.p7b) уже содержат CA Bundle. Вам не нужно создавать отдельный. Если Ваш сервер требует формат PEM, конвертируйте его:

openssl pkcs7 -print_certs -in certificate.p7b -out certificate-with-chain.pem

Проблема 4: Просроченный промежуточный сертификат

Симптомы: Внезапные ошибки SSL на ранее работающем сайте.

Решение: Загрузите последнюю версию CA Bundle с Вашего центра сертификации. Основные центры сертификации публикуют обновленные промежуточные пакеты до истечения срока действия старых. Замените свой старый пакет на новый.

---

Лучшие практики работы с пакетами CA

• Сохраняйте резервные копии — Храните сертификат Вашего сервера, закрытый ключ и CA Bundle в надежном месте. Они понадобятся Вам при переносе сервера или переустановке.
• Используйте только официальные источники — Всегда получайте пакет CA Bundle с официального сайта Вашего центра сертификации. Сторонние репозитории могут быть устаревшими или взломанными.
• Отслеживайте даты истечения срока действия — корневые и промежуточные сертификаты тоже истекают. Установите напоминания для проверки обновлений ЦС.
• Тестирование перед производством — Сначала протестируйте новые конфигурации в тестовой среде. Используйте инструменты тестирования SSL, чтобы убедиться, что все работает, прежде чем запускать их в производство.
• Документируйте Вашу установку — Сохраняйте записи о том, какие сертификаты Вы используете, где они установлены и даты продления. В будущем Вы это оцените.

---

Часто задаваемые вопросы о бандле CA

Можно ли сгенерировать CA Bundle автоматически?
Нет. В отличие от CSR, который Вы генерируете сами, CA Bundle должен быть получен от Вашего центра сертификации. Вы можете создать его вручную, объединив предоставленные им сертификаты.

В чем разница между CA Bundle и цепочкой сертификатов?
Пакет CA содержит только промежуточный и корневой сертификаты. Полная цепочка сертификатов включает в себя сертификат Вашего сервера и пакет CA.

Всем ли сертификатам требуется CA Bundle?
Для большинства сертификатов SSL/TLS требуется один. Основным исключением являются сертификаты формата PKCS#7 (файлы .p7b), которые включают промежуточные элементы в сам файл.

Является ли CA Bundle одинаковым для всех сертификатов одного ЦС?
В целом, да. Сертификаты одного и того же типа (DV, OV или EV) от одного и того же ЦС обычно используют одни и те же промежуточные сертификаты.

---

Получите свой SSL-сертификат с пакетом без хлопот от SSL Dragon

Установка SSL-сертификатов не обязательно должна быть сложной. SSL Dragon предоставляет все необходимое для беспроблемной установки, включая предварительно сконфигурированные пакеты CA, подробные руководства по установке и поддержку специалистов.

Почему клиенты SSL Dragon избегают головной боли от CA Bundle:

✓ Полные установочные пакеты — Сертификат сервера, частный ключ и CA Bundle вместе
✓ Предварительно проверенные пакеты — Все сертификаты проверяются перед поставкой
✓ Круглосуточная экспертная поддержка — Реальные люди, которые понимают SSL
✓ Быстрая выдача — Сертификаты, подтвержденные доменом, всего за 5 минут
✓ Универсальная совместимость — 99,99% распознавания браузерами
✓ 25-дневная гарантия возврата денег — Попробуйте без риска.

Просмотр SSL-сертификатов