Corrigir uma raiz não confiável ou erro de certificado (somente Windows IIS)

Se você ou seus clientes estiverem vendo uma "raiz não confiável" ou um erro na cadeia de certificados SSL, seu certificado SSL atual pode precisar de certificados adicionais no pacote para que os navegadores da web possam confiar em seu site. Siga estas etapas para corrigir esse problema no Windows IIS.

Para CSR e chave privada gerada dentro do IIS

1. Baixe o novo pacote e copie-o para um dos servidores IIS.
2. Abra o MMC e adicione o snap-in de visualização do certificado.
3. Clique com o botão direito em Certificados intermediários , selecione Importar e navegue até o arquivo .p7b que acompanha o novo pacote. Selecione o arquivo e importe-o. Quando a importação for concluída, você verá uma mensagem de sucesso.
4. Abra o gerenciador de IIS e vá para Certificados do servidor .
5. Selecione Concluir solicitação de certificado e navegue até o .cer que acompanha o pacote.
6. Importe o pacote para sua máquina local e, quando a importação for concluída, você verá uma mensagem de sucesso.
7. No MMC, clique com o botão direito no novo certificado que foi importado e selecione Exportar .
8. Opte por exportar a chave privada também, forneça um novo nome / caminho para o .pfx e, em seguida, instale o .pfx recém-criado em seus servidores da web e vincule-se a qualquer site que precise dele.

Para CSR e chave privada gerada externamente (por exemplo, em OpenSSL)

1. Execute este comando para criar um arquivo PFX:
   openssl pkcs12 -export -out [newFileName.pfx] -inkey [privateKey] -in [newBundleFileName]
   onde:
   
   • newFileName é o nome do arquivo de saída para o PFX (por exemplo, coolexample_new.com.pfx)
   • privateKey é o arquivo da chave privada (por exemplo, coolexample.com.key)
   • newBundleFileName é o pacote de certificados a ser incluído (por exemplo, coolexample.com_bundleNoG2.crt)
   Insira sua senha quando solicitado.
2. Carregue o PFX em seu servidor e clique duas vezes para iniciar a instalação.
3. Selecione Máquina local e selecione Avançar .
4. Selecione Verificar nome do arquivo e selecione Avançar .
5. Selecione Inserir senha (sempre recomendamos fazê-lo para aumentar a segurança), selecione Marcar chave exportável e, em seguida, selecione Avançar .
6. Selecione Selecionar armazenamento de certificado automaticamente , selecione Avançar e, em seguida, Concluir . Quando a importação for concluída, você verá uma mensagem de sucesso.

Veja o certificado

Independentemente de como você instalou o pacote, veja como visualizar o certificado instalado:

1. Abra um prompt de comando, digiteMMC e pressione Enter.
2. No MMC, selecione Arquivo e, em seguida, Adicionar / Remover Snap-in .
3. No menu à esquerda, selecione Certificados e selecione Adicionar .
4. Selecione Conta de computador e, em seguida, Avançar .
5. Selecione Computador local e, em seguida, Concluir .
6. Selecione OK .
7. Navegue de volta para Certificados (computador local) , selecione Pessoal e selecione Certificados . O novo certificado aparece na lista.

Saiba mais

• Por que a GoDaddy está removendo o ClientAuth EKU e fazendo a transição para a hierarquia raiz R1 para a emissão de DV TLS?: Explica por que você viu o erro de "raiz não confiável" ou da cadeia de certificado em primeiro lugar.