Hola Diego:
Teníamos algo parecido a lo de ustedes en nuestra institución UNPSJB. El certificado que tienen es de sectigo. En nuestro caso dos archivos el .crt (wild card) uno intermedio y nos tuvieron que pasar uno más porque el de la CA raiz si estaba vencido.
Juntamos (concatenamos) los tres archivos en uno solo y eso nos sirvió para que por ejemplo el firmador no diera error para firmar un documento. Quizás sea este su caso, nuxeo no estaría enviando toda la cadena de certificados.
Por el tema del vencimiento del CA raiz tuvimos también que agregarlo al ca-certificates (hacer que el servidor confíe en ese certificado) del servidor que tiene que hacer la comprobación. Eso nos posibilitó hacer que funcionen los bundles de mapuche, descargar recibos de sueldo etc. por ejemplo.
Saludos,
Marcelo.