LetsEncrypt / Exim4 / GnuTLS / cert chaining: "L'elenco dei certificati X.509 fornito non è ordinato" errore

Da quello che posso determinare, si genera un certificato LetsEncrypt che include la catena completa di cert così:

# run lets-enc the usual way
# then ..:
wget -O intermediate.pem https://letsencrypt.org/certs/lets-encrypt-x1-cross-signed.pem 
cat DOMAIN.crt intermediate.pem >DOMAIN.pem
# now use DOMAIN.pem instead of DOMAIN.crt

Sfortunatamente, quando lo faccio, Exim4 resp. GnuTLs si lamenta che

(cert/key setup: cert=/etc/letsencrypt/keys/DOMAIN.pem
 key=/etc/letsencrypt/keys/DOMAIN.key):
The provided X.509 certificate list is not sorted (in subject to issuer order)

e si rifiuta di abilitare SSL.

Dal momento che l'utilizzo del file .crt "nudo" risulta in fastidiosi avvisi sui certificati su alcuni client (funziona diversamente), mi piacerebbe risolverlo.