Trước hết, gửi chuỗi trung gian tới chứng chỉ gốc với phản hồi máy chủ của bạn không phải lúc nào cũng chính xác CẦN THIẾT, nhưng nó được khuyến khích thực hành.
Ngày nay, nhiều khách hàng có tất cả các loại chứng chỉ trung gian được lưu trữ trong cửa hàng ủy thác chứng chỉ của họ hoặc lấy chúng từ cửa hàng ủy thác của hệ điều hành. Tuy nhiên, nếu bạn có ý định phục vụ công chúng CHUNG, bạn không thể đưa ra bất kỳ giả định nào về điều này và bạn NÊN gửi chuỗi trung gian cùng với phản hồi của mình.
Nếu bạn không gửi chuỗi trung gian, bạn sẽ nhận được các báo cáo lẻ tẻ về việc mọi người không thể kết nối với dịch vụ của bạn. Và điều đó có thể phụ thuộc vào trình duyệt của họ, phiên bản của trình duyệt và hệ điều hành cơ bản.
Trớ trêu thay, việc chọn một chuỗi trung gian cụ thể và gửi nó cùng với phản hồi đôi khi có thể hủy bỏ xác thực SSL đối với một số khách hàng lẽ ra đã xác thực chuỗi đó từ chính một số chuỗi được lưu trữ. Như trường hợp của một số ứng dụng khách openssl cũ hơn trên các máy chủ và chứng chỉ do letencrypt cấp, nhưng bạn có thể cho rằng trong trường hợp đó, sự hỗ trợ của các máy chủ đó cuối cùng sẽ tìm ra.
Bạn thực sự không cần chỉ thị ChainFile trong Apache cho điều đó, bởi vì bạn cũng có thể nối các tệp chứng chỉ pem từ chứng chỉ cuối về phía gốc và sử dụng chúng chỉ với chỉ thị SSLCertificateFile.
Những gì bạn không cần làm là gửi chứng chỉ gốc. Bởi vì nếu một khách hàng thực sự sử dụng nó, thì nó sẽ đánh bại việc sử dụng xác thực SSL trên thực tế.
SSLCACertificateTệp là cần thiết khi và chỉ khi, bạn cần xác thực chứng chỉ từ các ứng dụng khách kết nối với bạn VÀ bạn sẽ không sử dụng kho lưu trữ tin cậy cơ bản của hệ thống cho việc đó. Vì vậy, đây thực sự là một cách sử dụng hoàn toàn khác so với Chứng chỉ SSLChainfile
Hơn nữa, nếu nghi ngờ, hãy sử dụng các công cụ xác thực tuyệt vời của Qualys SSL Labs: https://www.ssllabs.com/ssltest/
