Let's Encrypt Probleme 2025-05?

Grüß euch,

Diese Woche hat mein Server - wie so viele Male davor - per ACMEv2 seinen Let's Encrypt Certificate Signing Request übermittelt, und dementsprechend sein neues Zertifikat ausgestellt bekommen. Seitdem gibt's Probleme, und ich habe auch aus der Industrie in zumindest einem Fall von ähnlichen Troubles gehört.

Manche Netzwerkclients droppen jetzt Connections, weil sie meinen sie könnten das Endpunktzertifikat nicht zertifizieren. So als würde das Intermediate ned passen. Andere liefern Fehler wie "Error: Server sent unsorted certificate chain in violation of the TLS specifications". Wieder andere regen sich gar nicht auf. Ich habe mir die Chain angeschaut, aber die Sortierung paßt.

Die Chain of Trust auf meinem Server schaut den Files zufolge so aus: ISRG Root X1 --signs--> Let’s Encrypt R11 --signs--> End-Entity Server Certificate.

Stimmt da grade irgendwas ned? In manchen Clients wird jetzt das R10 anstatt des R11 als Intermediate Certificate gelistet, ist das eventuell der Grund? Hams R11 weggeschmissen und zertifizieren jetzt nur mehr per R10 oder wie?

testssl.sh sagt bei mir u.a.:

Code:

 Issuer                       R10 (Let's Encrypt from US)
 Trust (hostname)             Ok via SAN (same w/o SNI)
 Chain of trust               NOT ok (chain incomplete)

In den News kann ich nichts finden, und die Infos zur Chain of Trust bei Let's Encrypt sind eigentlich unverändert.

Muß ich jetzt R11 durch R10 tauschen?

Meine sind von April und alle über R10

Okay, danke euch. Nachdem meine Chain X1 => R11 => Server ist, wird das das Problem sein. Ich schicke R10 vom Server aus nämlich ned mit. Und wenn der Client R10 ned schon in seiner Trust Chain hat, dann kracht's natürlich.

Jetzt check' ich das. Vor'm nächsten Renewal also R11 durch R10 austauschen.

Danke!

Edit: SSL/TLS suxx. Kann ich bitte Crypto ohne Identitätsverifikation haben? Hah...