SSL ca-bundle

А как насчёт nginx'a?

server {
            	listen       443;
                server_name  blabla.com;

                ssl                             on;
                ssl_certificate                   file.crt;
                ssl_certificate_key		file.key;
                ssl_client_certificate        SSL_CA_Bundle.pem;

Но какой из 2х ключей в .ca-bundle корневой провайдерский а какой мой?

Там не должно быть твоего. Там должна быть цепочка от CA, выдавшего тебе сертификат до Root CA. Nginx'у надо слить оба файла в один, емнип. В смысле, все сертификаты в один файл, приватный ключ - в другой файл. Про почтарь не скажу.
См. оф. маны, в общем.

ssl_client_certificate

«Specifies a file with trusted CA certificates in the PEM format _ used to verify client certificates _ and OCSP responses if ssl_stapling is enabled» (с)

Что-то ты не то пишешь.

Тогда всё совсем странно, т.к. key-файла у меня НЕТ.
Прислали только архив с этими двумя.
COMODO

Ключ и сертификат в одном и том же файле, наверное.
Выложи на pastebin, я посмотрю, йопт)

так в открытую сертификатами кидаться?

ыыыыыыыы
А как при помощи openssl отделить мух от котлет, есть идеи?

Чувак-то не ламер, да и смайлик должен заметить.

Можно несколько символов местами поменять, к примеру xD

STAR_example_com.crt - скорее всего ключ.

Это x509-сертификат.

Мухи и котлеты это что?
Загляни текстовым редактором в файл сертификата сервера (не бандл).
Если он в обычном ascii-формате, то там четко видно, где ключ, а где сертификат.

Это x509-сертификат.

Это точно? Ты как проверял?

Кстати, а как покупался сертификат? Посылался CSR (Certificate Signing Request) или CA сам генерирует private key ?

openssl x509 -in STAR_example_com.crt -text -noout

Там только сертификат.
Ключ может быть только в бандле а там:

-----BEGIN CERTIFICATE-----
$lots_of_symbols
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
$lots_of_symbols
-----END CERTIFICATE-----

Ну тогда тряси ключ с того, кто отправлял CSR.

Ключ должен был сгенерировать ты сам, при отправке CSR

Ключ может быть только в бандле.

Скорее всего его там нету, обычно все происходит так

1. Генерируется пара из закрытого и открытого ключа. 2. На основе открытого ключа генерируется запрос на сертификат (CSR). 3. CSR отправляется на подпись к CA. 4. CA, удостоверившись в идентичности запрашиваемого, возвращает сертификат - по сути подписанный CSR.

Ключ может быть только в бандле

Как раз именно там его быть и не должно.
Ключ при заказе ты должен был генерировать сам. Ищи теперь.

Значит, ключ у того кто отправлял заявку.
Впорос снят.
Всех благодарю за внимание