安装了SSL的“CA根证书不受信任”

Question

我刚刚在Plesk上安装了SSL，当我在Chrome中转到https://www.domain.com时，我收到以下错误：

This CA Root Certificate is not trusted.  To enable trust, install this certificate in the Trusted Root Certification Authorities Store.

排除了拥有SSL的目的。知道如何让这条消息消失吗？

提前致谢，

约翰

编辑：我从GoDaddy购买了SSL，我希望这是一个值得信赖的权威。

Answer 1

出现此问题是因为颁发机构使用中间证书对服务器证书进行了签名，该证书不是在与特定浏览器一起分发的知名可信证书颁发机构的证书库中。在这种情况下，权限（GoDaddy）提供了一组链式证书，这些证书应与服务器证书链接，以解决缺乏信任的问题。不幸的是，GoDaddy在这方面没有提供任何文件。您应该从GoDaddy收到两个不同的证书，一个用于您的服务器，以及捆绑包。根据您的服务器，这是配置的样子：

• 对于Apache：

在自己的指令中指定每个证书：

SSLCertificateFile /path/to/cert/www.example.com.crt
SSLCertificateChainFile /path/to/cert/bundle.crt

• 对于Nginx，documented here：

两个证书应该连接在一起，首先是服务器，然后是捆绑：

cat www.example.com.crt bundle.crt > www.example.com.chained.crt

然后在服务器ssl_certificate指令中使用www.example.com.chained.crt：

ssl_certificate www.example.com.chained.crt

Answer 2

GoDaddy在Windows操作系统上得到认可，因为GoDaddy根证书已在Windows上预先安装。但GoDaddy不会在许多情况下自动识别，需要由用户手动配置（这不是一项简单的任务）。例如，IPhone不会开箱即用地信任GoDaddy证书。您可以考虑从已建立的证书颁发机构（如Verisgn或Thawte）获取证书，但它们会更昂贵。

Answer 3

@John：GoDaddy是注册商/虚拟主机，我相信他们的证书只是经销商证书。正如@Jaro建议的那样，你不需要付出昂贵的代价来获得兼容性。我已经部署了几个由Chrome / iOS和Safari / iOS识别的RapidSSL证书，无需用户干预，并且比Symantec / VeriSign等高保险证书便宜得多。

Answer 4

使该消息消失的唯一方法是从受信任的机构购买真实证书。