网站安全证书错误怎么解决？一步步排查

很多站长在搭建网站或者用户访问网站的时候，都会碰到浏览器提示网站安全证书错误的问题，不管是站长自己测试访问，还是用户反馈打不开网站，看到这个错误提示都容易慌，不知道到底是哪里出了问题。其实网站安全证书错误大多都是配置或者环境的小问题，只要按顺序排查，大部分都能很快解决，今天我就把自己排查解决这类问题的经验整理出来，一步步讲清楚。

先搞清楚：证书错误分哪几种常见类型

不同浏览器提示的证书错误描述不一样，但常见的错误类型无非几种：第一种是证书过期，证书都有有效期限，一般是1年到2年，到期之后没有更新续期就会报错；第二种是证书不被信任，比如用了自签名证书，或者用了根证书不在浏览器信任列表里的证书；第三种是域名和证书不匹配，申请证书的时候填错了域名，或者更换了域名后没有重新申请证书；第四种是系统时间不对，用户电脑本地时间和实际时间偏差太大，导致证书有效期验证不通过。

证书过期导致的错误怎么解决

如果是证书过期了，那解决方法非常简单，只需要重新向证书颁发机构申请新的证书，然后替换掉服务器上旧的证书就行。如果用的是Let’s Encrypt这类免费证书，记得开启自动续期，很多服务器面板都自带自动续期功能，只要开启后就不用手动操心续期的事。如果自动续期失败，那就要检查一下域名解析是不是正常，或者验证文件能不能正常访问，这些都是续期失败的常见原因。

证书不被信任怎么处理

很多新手站长喜欢自己生成自签名证书用来测试，这种证书虽然能加密传输，但浏览器默认不会信任，访问的时候就会提示不安全。如果是正式对外运营的网站，一定要用正规CA机构颁发的证书，免费的比如Let’s Encrypt、ZeroSSL，付费的有各大厂商的OV、EV证书，根据自己的需求选择就行。如果是已经用了正规证书还是提示不被信任，那就要检查一下中间证书有没有安装正确，很多时候少安装了中间证书就会导致浏览器不信任整个证书链。

域名和证书不匹配怎么解决

这种错误一般出现在刚换域名或者刚申请证书的时候，申请证书的时候只绑定了主域名，结果用在二级域名上就会报错，或者申请的时候填错了域名，导致证书绑定的域名和实际使用的不一致。解决方法也很简单，重新申请对应域名的证书就行，如果需要绑定多个域名或者通配所有二级域名，可以申请多域名证书或者通配符证书，一次性解决多个域名的证书问题，不用每个域名单独申请。

用户本地时间不对导致的报错

这种情况大多出现在用户端，不是网站本身的问题，很多用户电脑换了主板电池之后时间重置，或者手动改了时间没改对，打开网站就会提示证书过期错误。如果很多用户都反馈这个问题，那可以在网站公告里提醒一下用户检查本地时间，如果只是个别用户反馈，直接告诉用户调整时间就可以了，不用动网站的证书配置，排查的时候要分清楚是网站端问题还是用户端问题。

服务器配置错误导致证书报错

很多时候证书本身没问题，但是服务器配置错了端口或者路径，也会导致证书错误。比如你把SSL证书配置在了80端口，而不是默认的443端口，或者nginx配置里指定的证书文件路径不对，权限不够服务器读不到证书文件，这些都会报错。排查的时候可以先检查配置文件里的路径和端口对不对，然后用nginx -t命令测试一下配置有没有语法错误，再检查证书文件的权限，一般设置成644就可以了，所属用户改成运行web服务的用户即可。

HTTP跳转HTTPS配置错误

很多站长把网站从HTTP改成HTTPS之后，没有配置好跳转规则，也会导致证书错误。比如所有HTTP请求都直接跳转到HTTPS，但是证书只绑定了www域名，没绑定不带www的域名，就会出现打开不带www的HTTP跳转到HTTPS之后提示证书错误。这种情况要么给不带www的域名也申请绑定证书，要么把跳转规则改成只跳对应域名的HTTPS，确保每个域名都有对应匹配的证书，就能解决这个问题。

怎么提前避免证书错误问题

其实大部分证书错误都是可以提前避免的，首先申请证书的时候一定要确认绑定的域名正确，不要填错；然后安装证书的时候一定要按照服务商给的教程安装完整，不要漏掉中间证书；用免费证书的话一定要开启自动续期，并且定期检查一下续期是否成功；如果更换了域名，一定要记得及时更换新的证书，不要继续用旧域名的证书。只要做好这几点，大部分证书错误都不会碰到，就算碰到，按上面的步骤排查也能很快解决。

总的来说，网站安全证书错误不是什么难以解决的大问题，大部分都是配置的时候小细节没注意到导致的，碰到问题之后先分清楚是哪一种错误，再对应解决就可以了。如果排查了一圈还是没找到问题，可以把错误截图发给你的服务器或者证书服务商，让客服帮忙排查，一般都能很快解决问题，不用太担心。