Chrome показывает сайт как "небезопасный" (сертификат недействителен), но сертификат верен

у меня самогенерируемого ЦС, а сгенерированный сертификат. Сертификат действителен:

» openssl verify -verbose -x509_strict -CAfile rootCA.pem mysite.bundle.crt
mysite.bundle.crt: OK

корневой CA установлен в моей системе (Ubuntu 16.04), и curl может проверить сертификат:

curl https://mysite

не жалуется здесь.

Я могу проверить цепочку сертификатов на запущенном сайте, и все кажется в порядке, включая записи SAN:

» openssl s_client -showcerts -servername mysite -connect mysite:443 </dev/null 2> /dev/null | openssl x509 -noout -text | grep DNS:
                DNS:mysite

но хром все равно ругается. Что может быть причина?

EDIT

добавлять скриншоты