¿Qué hay de malo en mi cadena de confianza SSL?

El certificado SSL para mi sitio, https://www.snipsalonsoftware.com/ , no funciona en Android. Al solucionar este problema, conecté mi sitio a la herramienta de prueba Qualys SSL Labs:

https://www.ssllabs.com/ssltest/analyze.html?d=www.snipsalonsoftware.com&s=50.57.181.104

Este informe parece decirme que tengo "problemas de cadena". Algo está "incompleto". Pero tengo problemas para entender exactamente lo que está incompleto.

En la siguiente sección, en "Rutas de certificación", veo en naranja (y supongo que naranja significa "algo malo") "Descarga adicional". No tengo idea de lo que esto significa o cómo solucionarlo. Encontré este hilo , pero no puedo decir cómo traducir lo que dicen en una solución para mí.

¿Qué tengo que hacer?

Ha configurado su servidor para que solo envíe el certificado a los navegadores. Para la mayoría de los navegadores de escritorio, esto está bien porque ya contienen una gran cantidad de detalles de CA intermedios y raíz, por lo que pueden construir fácilmente la cadena de confianza. Para la mayoría de los navegadores móviles, generalmente debe proporcionar toda la cadena de certificados, es decir, su propio certificado, el de la CA emisora ​​y cualquier intermediario que pueda existir entre esa y la CA raíz definitiva. Es probable que el dispositivo móvil tenga los detalles de la CA raíz solo en este escenario.

Para su certificado específico, puede leer este artículo del servicio de asistencia de Comodo: Base de conocimiento: Autoridad de certificación de Comodo> Certificados> SSL> Instalación de certificados

Un certificado puede contener una extensión especial de Acceso a información de autoridad ( RFC-3280 ) con URL al certificado del emisor. La mayoría de los navegadores pueden usar la extensión AIA para descargar el certificado intermedio que falta para completar la cadena de certificados. Pero algunos clientes (navegadores móviles, OpenSSL) no admiten esta extensión, por lo que informan que dicho certificado no es de confianza.

Puede resolver el problema de la cadena de certificados incompleta manualmente mediante la concatenación de todos los certificados del certificado al certificado raíz de confianza (exclusivo, en este orden), para evitar dichos problemas. Tenga en cuenta que el certificado raíz de confianza no debe estar allí, ya que ya está incluido en el almacén de certificados raíz del sistema.

Debería poder obtener certificados intermedios del emisor y reunirlos usted mismo. He escrito un script para automatizar el procedimiento, recorre la extensión AIA para producir la salida de certificados correctamente encadenados. https://github.com/zakjan/cert-chain-resolver