SSL证书验证失败？按顺序逐项排查

网站刚上线，或者证书刚换完，浏览器一打开就甩出一句“您的连接不是私密连接”，红叉加上一行看不懂的英文报错码，很多站长第一反应就是赶紧去重签一张。先别急，证书验证失败的病因就那么几类，凭报错码基本能锁定方向。这篇按报错码一项项往下排：有效期、域名匹配、证书链、服务器时间，再到老旧客户端的兼容问题。你照着顺序走，多数情况二十分钟内就能定位到病根，省下的时间和钱都是自己的。

第一步：先认清报错码，别一看红锁就重签

浏览器把验证失败的原因拆得很细，每个错误码其实都对应一类具体毛病。最常见的是 NET::ERR_CERT_DATE_INVALID，指向证书有效期；NET::ERR_CERT_COMMON_NAME_INVALID，指向域名不匹配；NET::ERR_CERT_AUTHORITY_INVALID，指向签发机构不被信任，这里十有八九是中间证书没装全。看清这几个码再动手，比盲目重签省事得多。查看完整报错的入口在浏览器里，按 F12 打开开发者工具，看安全面板或者控制台，详细信息都在里面，别只盯着页面上那句笼统的提示。

ERR_CERT_DATE_INVALID：先查证书有效期，再查本机时间

这个码的意思是浏览器认为证书不在有效期内，只有两种可能：证书本身过期或者还没生效，或者你这一端的系统时间不对。判断顺序很有讲究，先拿手机流量打开同一个网站，如果手机一切正常，那多半是你电脑或者服务器的系统时间跑偏了；如果所有设备都报同一个错，那就是证书自己的问题。市面上不少免费证书有效期只有三个月左右，自动续期脚本一旦失败，当天就出事。我一再提醒把续期任务盯紧，就是怕这种半夜翻车的场面。

用 openssl 两条命令把证书日期看明白

手上能拿到证书文件，就别靠肉眼猜。登录服务器，进到证书所在目录，敲一句 openssl x509 -in cert.pem -noout -dates，终端会把生效时间和到期时间两行直接打出来，一眼看清是过期了还是装错了文件。想看更细的信息，把最后改成 -text，会打出像 notBefore、notAfter 这样的字段。注意文件名不一定叫 cert.pem，也可能叫 fullchain.pem，或者干脆用域名命名的 crt 文件，真实路径以你自己的配置为准，Nginx 通常写在 ssl_certificate 那一行，照着抄路径就不会找错。

COMMON_NAME_INVALID：域名对不上，问题多半出在 SAN

这个报错的意思是证书里列的域名跟你实际访问的域名不一致。老规矩只看 Common Name，现在主流浏览器早就改成认 SAN 扩展，也就是那张证书里列出的一串可用域名。常见的翻车场景就那么几种：申请时填的是不带 www 的主域名，访客偏偏输的是带 www 的；或者反过来，证书里只有带 www 的，访问裸域名就报错。核对办法很简单，敲 openssl x509 -in cert.pem -noout -text，往下翻找 DNS 开头的那几行，看看你要用的域名到底在不在列表里。

加不加 www 都对不上，那就老老实实重签

如果核完发现，带 www 和不带 www 两个版本都不在列表里，或者这张证书压根是给别的域名签的，那就别想着改配置糊弄过去，该重签就重签。稳妥的做法是申请时把主域名和带 www 的域名一起填进去，两个都覆盖，谁来访问都不报错。泛域名证书虽然一张能盖住所有子域，但它往往不包含裸域名，这一点栽过的站长不在少数。重签之后记得把新证书路径更新到 Web 服务器配置里，再平滑重载一次，文件换了不等于配置就生效了。

AUTHORITY_INVALID：十有八九是中间证书漏装了

看到这个码，第一反应应该是证书链不完整，而不是证书被吊销或者过期。一条完整的链分三段：服务器证书、一个或多个中间证书、根证书。根证书内置在系统和浏览器里，我们需要自己装的是前面两段，而很多人只把域名证书那一段贴进了配置，中间证书漏掉了，浏览器就找不到通往根证书的那条路。判断标准很直白：桌面浏览器打开正常，手机上、App 内置浏览器或者某个调用接口的程序却报证书错误，这种一半能用一半不能用的现象，基本可以断定是链不全。

openssl s_client 一条命令看清整条证书链

要确认链到底缺不缺，直接在服务器上敲 openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts，把域名换成你自己的就行。返回内容里会依次列出服务端吐回来的所有证书，正常情况下至少能看到两张，中间证书和域名证书都在，编号从 0 开始往后排。要是只有一张，说明中间证书根本没发出来，回去把证书服务商给的链文件内容，跟域名证书按顺序拼成一份完整的 fullchain.pem，更新配置后重载服务即可。

服务器时间与时区别忽略，它能让好证书“过期”

证书验证这件事，本质上是拿本机时间和证书有效期做比较，所以服务器时间一旦漂移，好端端的证书也会被判成过期或者尚未生效。服务器重启之后时间错乱、虚拟机挂起恢复后时钟落后、时区设成 UTC 而业务按北京时间算，这几类情况我都遇到过。排查就一条命令，敲 date 看当前时间和时区，跟标准时间对一下，误差只要超过几分钟就得处理。用 chrony 或者 ntp 把时间同步配好，顺手确认时区设置，别让一个八小时的偏差把整站拖下水。

老旧客户端不支持 SNI，同一张证书两种结果

还有一种情况挺气人：新浏览器一切正常，偏偏某个老系统、老安卓机或者某个采集程序报证书错误。这类问题很多时候出在 SNI 上。SNI 是握手阶段告诉服务器“我要访问的是哪个域名”的机制，一台服务器上挂多个站点，全靠它区分该给哪张证书。老客户端不支持 SNI，服务器只能返回默认站点的那张证书，域名自然对不上。处理办法要么是给这个域名单独配一个独立 IP 和独立监听，要么在默认站点上也放一张能覆盖它的证书，具体怎么选，以你服务商的说明和服务器环境的支持情况为准。

把顺序再捋一遍：先看报错码定大方向；DATE_INVALID 查证书有效期和本机时间；COMMON_NAME_INVALID 拿 SAN 里的域名跟访问域名逐字对；AUTHORITY_INVALID 用 s_client 看证书链全不全；最后再回头确认服务器时间和老客户端兼容。整套流程里最值钱的一句话是：别一报错就重签，先分清是证书的问题、配置的问题，还是客户端的问题。排查完顺手把到期时间和自动续期任务盯紧，能省下大把临时救火的功夫。