O Chrome mostra o site como "Não seguro" (Cert Invalid), mas o certificado está correto

Question

Eu tenho uma CA autogerada e um certificado gerado. O certificado é válido:

» openssl verify -verbose -x509_strict -CAfile rootCA.pem mysite.bundle.crt
mysite.bundle.crt: OK

A CA raiz está instalada no meu sistema (Ubuntu 16.04) e a curl é capaz de validar o certificado:

curl https://mysite

Não há reclamações aqui.

Posso verificar a cadeia de certificados no site de execução e tudo parece ok, incluindo as entradas da SAN:

» openssl s_client -showcerts -servername mysite -connect mysite:443 </dev/null 2> /dev/null | openssl x509 -noout -text | grep DNS:
                DNS:mysite

Mas o Chrome ainda reclama. Qual poderia ser o motivo?

EDITAR

Adicionando captura de tela

    

Answer 1

Ao contrário do curl ou s_client, nem o Chrome nem o Firefox usam a loja da CA dos sistemas no Ubuntu. Eles têm seu próprio armazenamento confiável e você precisa importar o certificado de CA em sua loja específica para ser tratado como confiável. Para acessar o armazenamento confiável do Chrome, use chrome://settings/certificates .