Сайт (TLS-сервер в общем случае) должен сам предоставлять полную цепь сертификатов, подтверждающих его собственный, исключая сертификат корневого ЦС, который в нормальном состоянии находится в хранилище доверенных на клиенте. Так что да, нужно отдавать помимо cert.pem ещё и fullchain.pem. Причина в том, что клиент в норме не должен знать обо всей инфраструктуре PKI каждого ЦС, чей корневой сертификат он хранит, так как она в общем случае динамическая, и подчиненные сертификаты все равно перевыпускаются раз в 1-5 лет (LE с его трехмесячными сертификатами может и менять subCA раз в год), поэтому клиенту негде взять всю цепь сертификатов. Поэтому самое логичное решение - хранить её на сервере, так как он тоже должен знать, кто ему серт подписал, и с сервера же раздавать по мере необходимости.