nginx unter Windows: cannot load certificate

Nach einer Zertifikatsänderung startet nginx unter Windows nicht mehr. Im Fehlerlog steht cannot load certificate, oft ergänzt um einen Dateipfad und eine OpenSSL-Meldung. Im dokumentierten Fall wurden Backslashes im Konfigurationspfad falsch interpretiert; die Umstellung auf vorwärts gerichtete Schrägstriche löste diesen konkreten Fehler. Nicht jede gleichlautende Meldung hat dieselbe Ursache. Q1

Erst die Datei erreichen, dann ihren Inhalt prüfen

nginx dokumentiert für Windows Konfigurationspfade mit /. Relative Pfade hängen außerdem vom Startpräfix ab. Q2 Ein im Explorer vorhandenes Zertifikat kann deshalb für den tatsächlich gestarteten Prozess trotzdem unter einem anderen Pfad gesucht werden. Ein neues Zertifikat repariert diesen Unterschied nicht.

Sichere Prüfreihenfolge

1. Vollständigen Fehler lesen. Sichere die gesamte Zeile einschließlich des Pfads. Achte auf einen unerwarteten Zeilenumbruch oder verschwundene Zeichen nach einem Backslash. Entferne lediglich sensible persönliche Pfadbestandteile aus einer späteren Weitergabe.
2. Aktive Konfiguration bestimmen. Prüfe, welche nginx-Installation und Konfigurationsdatei der Startvorgang verwendet. Mehrere entpackte Verzeichnisse können dazu führen, dass eine Änderung an der richtigen Datei im falschen Verzeichnis erfolgt.
3. Pfad eindeutig vergleichen. Kontrolliere ssl_certificate und ssl_certificate_key getrennt. Ein Windows-Pfad kann beispielsweise als C:/nginx/conf/certs/site.pem geschrieben werden. Gleiche Datei, Dateiendung und Anführungszeichen ab; zeige den privaten Schlüssel nicht im Terminalprotokoll.
4. Lesbarkeit im richtigen Kontext prüfen. Der startende Prozess braucht Zugriff auf die vorgesehenen Dateien. Prüfe gezielt sein Konto und dessen vorhandene Rechte. Erteile nicht pauschal Vollzugriff für alle Benutzer.
5. Konfiguration vor Übernahme testen. Nutze den Konfigurationstest der tatsächlich eingesetzten nginx-Installation. Erst wenn der Ladefehler behoben ist, sind mögliche Folgefehler wie unpassender Schlüssel oder falsche Zertifikatskette separat zu untersuchen. Die HTTPS-Dokumentation beschreibt diese Zuordnung. Q3

Eine Änderung kontrolliert abnehmen

Bewahre den bisherigen Konfigurationsstand auf. Nach einem erfolgreichen Test erfolgt der zur Installation passende Reload beziehungsweise Start. Kontrolliere anschließend den vorgesehenen Hostnamen und das ausgelieferte Zertifikat. Das Verschwinden einer Logzeile allein bestätigt weder den richtigen Virtual Host noch die richtige Zertifikatsdatei.

Für die Übergabe helfen die bereinigte Fehlermeldung, Startmethode, nginx-Version, relevante Direktiven und das Ergebnis des Konfigurationstests. Private Schlüssel werden für diese erste Einordnung nicht benötigt.

Häufige Fragen

Ist mein Zertifikat abgelaufen?

Die Meldung sagt zunächst, dass nginx die Datei nicht erfolgreich laden konnte. Ablaufdatum und Dateizugriff sind getrennte Prüfungen.

Soll ich den privaten Schlüssel allgemein lesbar machen?

Nein. Bestimme das benötigte Prozesskonto und korrigiere nur die tatsächlich fehlenden Zugriffsrechte.

Fall beschreiben