Standardreihenfolge der Kette

TLS 1.3 (RFC 8446, Abschnitt 4.4.2) legt die Reihenfolge fest, die jeder Client erwartet: zuerst das Leaf-Zertifikat, dann die Intermediates, von denen jedes das vorherige zertifiziert. Das Root-Zertifikat wird normalerweise weggelassen: Der Client hat es bereits in seinem Root-Store, und einem vom Server gesendeten Root-Zertifikat wird ohnehin nicht vertraut. Es mitzusenden macht nur jeden Handshake grösser. TLSPilot schreibt deshalb das Leaf zuerst und das Root-Zertifikat nur, wenn Sie Include root einschalten.

Eine PFX-Datei enthält immer zuerst das Leaf, gefolgt von den Intermediates und, mit Include root, dem Root-Zertifikat. TLSPilot kehrt eine PFX-Datei nie um: Die Systeme, die sie importieren, erwarten zuerst das Zertifikat des Servers, und kein Ziel braucht in einer PKCS-#12-Datei eine andere Reihenfolge; die Option hat dort also keine Wirkung. Beim Erstellen einer PFX-Datei mit Kette ordnet TLSPilot zuerst den privaten Schlüssel dem Leaf zu. Fehlen der private Schlüssel oder das Leaf oder lässt sich die PFX-Datei nicht erstellen, bricht TLSPilot mit dem Fehler PFX export could not build the certificate chain. The file was not written. ab. Es wird keine unvollständige PFX-Datei geschrieben. Lösung: Kapitel Fehlerbehebung: Deployment-Ziele.