Мас OS, Chrome - с 1 октября невозможно открыть сайты с сертификатами Let's Encrypt

 С 1 октября Let's Encrypt обновили корневой сертификат. Если например Яндекс браузер через "нехочу" всё же позволяет их открыть, то Chrome не позволяет сделать это ни за что. Ну ни в какую. И хотя Chrome и показывает, что дата окончания сертификата - 2025 год, все равно пишет, что время его давно истекло. В чем причина, и что с этим делать?

Скажу сразу, что мне тоже настойчиво хотели присоветовать этот сертификационный центр, но я давно усвоил, что не всё бесплатное сильно полезно, и взял GeoTrust RapidSSL, чем доволен и как оказалось, не зря.

То есть, посетители нашего сайта могут быть совершенно спокойны (как и я), им ничего не помешает открывать любые страницы любым браузером. 

Но ведь по своей работе мне приходится открывать сайты других компаний, о у них тот самый бесплатный сертификат. Как оказалось, таких компаний очень много, среди них очень много серьезных, например курьерские компании, через которые мы осуществляем доставку, и даже некоторые маркетплейсы...

С Windows несколько проще, там конечно же следят за обновлением протоколов. Я же работаю на маке 2010 года, но даже после обновления до 10.11.6 openssl на нем стоит версии 0.9.8. Автообновление не дает никаких результатов (аналогичная ситуация на домашнем ubuntu 20.4), поэтому тут конечно решение одно: пересобрать ручками.

Отступление: встречал советы обновить или переустановить openssl, используя 

brew update && brew upgrade
brew install openssl@1.1

но это не дало результатов. Просто пустой выхлоп. Поэтому, как и сказал выше, собираем ручками.

Я использовал скрипт (вводил ручками, но можно и сохранить в скрипт) с гитхаба (https://gist.github.com/byronmansfield/97d74d8b0d1ea28b48536020dbd6d53e):

# Install OpenSSL from source on Mac OS X

# prepare workspace
mkdir -p ~/code/build-from-src/ && cd $_

# download source code
curl -LO https://www.openssl.org/source/openssl-1.1.1d.tar.gz

# expand tar
tar -xzvf openssl-1.1.1d.tar.gz
cd openssl-1.1.1d

# configure, make, install
perl ./Configure --prefix=/usr/local --openssldir=/usr/local/openssl no-ssl3 no-ssl3-method no-zlib darwin64-x86_64-cc enable-ec_nistp_64_gcc_128
make
make test
sudo make install MANDIR=/usr/share/man MANSUFFIX=ssl

# verify
openssl version
which -a openssl

# clean up
make clean
make distclean
cd ..
rm -fr openssl-1.1.1d
rm openssl-1.1.1d.tar.gz

 Осталось добавить сертификат в связку ключей, здесь все как обычно

https://support.apple.com/ru-ru/guide/keychain-access/kyca2431/mac

добавляем, даем разрешения. На этом всё, Chrome признает корневой сертификат и пускает на все сайты.

PS Конечно не очень хорошая ситуация вышла, но что ждать от бесплатного продукта, используемого в бизнесе? Или ты платишь деньги, или при необходимости гемороишься со своей стороны (в некоторое оправдание надо сказать, что спецы из Let's дали пару советов, что надо сделать, чтобы твои пользователи не испытывали неудобств, но как выяснилось, многим компаниям оказалось по барабану, кто и с чем будет заниматься безопасным сексом на "старом" оборудовании), или заморачиваются пользователи.