Per riferimento, il client ACME crea i seguenti file rilevanti in ${LETSENCRYPT_DIR}:
${DISCOURSE_HOSTNAME}.cer: contiene il certificato emessoca.cer: contiene la catena di certificati e ha un nome un po’ fuorviantefullchain.cer: unisce i due file precedenti
Il comando più corretto sarebbe:
openssl verify -untrusted ca.cer ${DISCOURSE_HOSTNAME}.cer
Il comando attuale è un disastro (ed è errato, poiché non verifica effettivamente che la catena sia valida fino a una radice di sistema) e qualsiasi altra soluzione si basa su effetti collaterali o assunzioni. Aggiornerò la PR.