Сертификаты SSL, SHA-1 и nic.ru

Не попусту. Через какое-то время SHA-1 будет признан не стойким. И тогда любой нормальный браузер должен считать цепочку, в которой присутствует промежуточный сертификат, подписанный SHA-1, недоверенной. Корневым можно, ибо они все равно сами себя подписывают. Может быть, Вам не повезло с сотрудником nic.ru?

«Поменять СА» у уже выпущенного сертификата нельзя.

Уточните у них, может быть новый SHA-2 сертификаты подписываются другим CA-сертом?

Вопрос снят.
ник.ру выпустит свой промежуточный сертификат с SHA-2 если мы перезакажем сертификат с SHA-2

Как у Thawte, так и у GeoTrust, так и у Symantec (одна контора) есть User Portal.

По вашему email адресу, указанному в качестве Technical contact при заказе сертификата, можно получить доступ к управлению вашим сертификатом.

Внутри User Portal для сертификата есть возможность скачать все необходимые промежуточные сертификаты CA.

А так же можно в любом момент отозвать или перевыпустить сертификат (бесплатно).

products.thawte.com/orders/orderinformation/authentication.do
products.geotrust.com/orders/orderinformation/authentication.do
products.verisign.com/orders/orderinformation/authentication.do

На самом деле база общая и адрес ссылки значения не имеет — на странице Symanec можно запросить доступ от Thanwte и т.д.

+
Symantec Installation Instructions for SSL Certificates
knowledge.verisign.com/support/ssl-certificates-support/index?page=content&id=AR212&actp=LIST
+
=================================================================
Symantec Intermediate CA certificates
To obtain Symantec Intermediate CA certificates, refer to solution AR657
knowledge.verisign.com/support/ssl-certificates-support/index?page=content&actp=CROSSLINK&id=AR657
=================================================================