Correzione di un errore radice o certificato non attendibile (solo Windows IIS)

Se tu o i tuoi clienti riscontrate un errore di "radice non attendibile" o di catena di certificati SSL, il tuo certificato SSL corrente potrebbe richiedere ulteriori certificati nel pacchetto in modo che i browser web possano considerare attendibile il tuo sito. Segui questi passaggi per risolvere questo problema per Windows IIS.

Per CSR e chiave privata generati in IIS

1. Scarica il nuovo pacchetto e copialo su uno dei server IIS.
2. Apri MMC e aggiungi lo snap di visualizzazione certificato.
3. Fai clic con il pulsante destro del mouse su Certificati intermedi , seleziona Importa , quindi cerca il file .p7b incluso nel nuovo pacchetto. Seleziona il file e importalo; quando l'importazione sarà terminata, visualizzerai un messaggio di conferma.
4. Apri Gestione IIS e vai a Certificati server .
5. Seleziona Completa richiesta di certificato e cerca il file .cer incluso nel pacchetto.
6. Importa il pacchetto sul tuo computer locale e quando l'importazione sarà terminata vedrai un messaggio di operazione riuscita.
7. In MMC, fai clic con il pulsante destro del mouse sul nuovo certificato importato e seleziona Esporta .
8. Scegli di esportare anche la chiave privata, fornisci un nuovo nome/percorso per il file .pfx, quindi installa il file .pfx appena creato sui tuoi server web e collegalo a qualsiasi sito che ne abbia bisogno.

Per la CSR e la chiave privata generate esternamente (ad esempio, in OpenSSL)

1. Esegui questo comando per creare un file PFX:
   openssl pkcs12 -export -out [newFileName.pfx] -inkey [privateKey] -in [newBundleFileName]
   dove:
   
   • newFileName è il nome del file di output per il PFX (ad esempio, coolexample_new.com.pfx)
   • privateKey è il file della chiave privata (ad esempio coolexample.com.key)
   • newBundleFileName è il pacchetto di certificati da includere (ad esempio, coolexample.com_bundleNoG2.crt)
   Inserisci la password quando richiesto.
2. Carica il PFX sul tuo server e fai doppio clic per iniziare l'installazione.
3. Seleziona Computer locale e seleziona Avanti .
4. Seleziona Verifica nome file e quindi Avanti .
5. Seleziona Inserisci password (consigliamo sempre di farlo per una maggiore sicurezza), seleziona Seleziona Contrassegna chiave esportabile e quindi Avanti .
6. Seleziona Seleziona automaticamente archivio certificati , seleziona Avanti e quindi Fine . Al termine dell'importazione, visualizzerai un messaggio di conferma.

Visualizza il certificato

Indipendentemente da come hai installato il pacchetto, ecco come visualizzare il certificato installato:

1. Apri un prompt dei comandi, digitaMMC e premi Invio.
2. In MMC, seleziona File e quindi Aggiungi/Rimuovi snap-in .
3. Nel menu a sinistra, seleziona Certificati e seleziona Aggiungi .
4. Seleziona Account del computer e quindi Avanti .
5. Seleziona Computer locale e quindi Fine .
6. Seleziona OK .
7. Torna a Certificati (Computer locale) , seleziona Personale e quindi Certificati . Il nuovo certificato viene visualizzato nell'elenco.

Altre informazioni

• Perché GoDaddy sta rimuovendo l'EKU ClientAuth e sta passando alla gerarchia radice R1 per l'emissione di TLS DV?: Spiega perché hai visualizzato l'errore "radice non attendibile" o catena di certificati in primo luogo.