az is segített, hogy egyszerűen letöröltem a DST_Root_CA_X3.crt file-ot... kliens oldalon, of course (Debian 8-as volt)... s akkor már tudta használni a ISRG Root X1-et a validáláshoz
vagy egyszerűen kitörölni az X3-at a fullchain.crt-ből... a szerveren