很多站长配置完HTTPS之后，经常会碰到浏览器提示SSL证书无效，访问网站直接弹出风险警告，甚至有些用户根本进不来网站。这种问题不仅影响用户访问体验，还会降低搜索引擎对网站的信任度，必须尽快解决。今天我们就来说说，SSL证书无效常见的几个原因，还有一步步排查解决的方法，新手站长看完就能自己动手处理。
先检查证书是否过期
SSL证书是有有效期的，大部分付费证书有效期是一年，免费证书比如Let’s Encrypt的证书有效期只有90天，到期之后证书就会自动失效，浏览器就会提示证书无效。你可以先打开浏览器，点击地址栏前面的锁形图标，查看证书信息，就能直接看到证书的有效期起止时间。如果确实过期了，只需要重新向CA机构申请新证书，然后替换掉服务器上原来的证书文件，重启服务之后就可以解决问题。建议大家设置日历提醒，避免证书过期忘了更新。
检查域名和证书是否匹配
SSL证书是绑定域名的，如果证书绑定的域名和你当前访问的域名不一致，浏览器也会提示证书无效。比如你申请证书的时候只绑定了主域名ashan.com，但是你用www.ashan.com访问就会提示错误；或者你更换了域名，但是没有重新申请对应新域名的证书，也会出现这个问题。你可以查看证书的绑定域名信息，确认证书包含你当前使用的所有域名，如果不匹配，就需要重新申请对应域名的SSL证书，替换掉原来的证书就能解决。
检查系统时间是否正确
很多人会忽略这个问题，其实用户电脑或者服务器的系统时间不对，也会导致SSL证书无效。因为SSL证书验证的时候会核对当前时间，如果系统时间和证书有效期的时间对不上，浏览器就会判定证书无效。如果是用户端的问题，可以提醒用户检查电脑时间，不过大部分时候是服务器时间不对导致的，你可以登录服务器查看当前系统时间，如果时间偏差过大，调整同步网络时间之后，证书验证就能恢复正常了。
检查证书链是否完整
安装SSL证书的时候，很多新手只上传了证书文件，没有上传中间证书，导致证书链不完整，部分浏览器就会提示证书无效。这种问题在Windows服务器上比较常见，你可以找第三方SSL检测工具，输入域名就能检测证书链是否完整。如果确实是证书链不完整，你只需要重新登录服务器证书管理后台，把CA机构提供的中间证书上传上去，配置好证书路径，然后重启web服务器（比如Nginx、Apache）就能解决问题了。
检查是否存在协议不兼容问题
有些旧版本的浏览器或者操作系统不支持新的SSL协议，也会提示证书无效。不过反过来，如果你的服务器只开启了高版本的TLS协议，淘汰了旧的不安全协议，部分老旧设备访问的时候也会报错。你可以先查看服务器的SSL协议配置，确认你开启了兼容性比较好的TLS 1.2以上版本，同时关闭不安全的旧协议。如果需要兼容老旧设备，可以适当调整协议配置，平衡安全性和兼容性，这样就能减少证书无效的报错了。
检查证书安装配置是否有误
安装SSL证书的时候，很多新手会把证书路径配置错误，或者证书文件上传错误，导致服务器无法读取正确的证书信息，自然就会提示证书无效。你可以登录服务器，检查web服务器的配置文件，比如Nginx的配置文件里，ssl_certificate和ssl_certificate_key的路径是不是正确，文件权限有没有设置对，确保服务器能正常读取证书文件。配置修改完成之后，记得先执行nginx -t检测配置有没有错误，没错再重启服务，避免配置错误导致网站无法访问。
检查是否被中间人攻击篡改
有些网络环境下，比如内网、公共WiFi，会存在中间人攻击，拦截HTTPS请求之后替换证书，导致浏览器提示证书无效。这种情况一般只在特定网络下出现，换个网络就正常了。如果你的网站所有网络环境下都提示证书无效，那基本不是这个问题。如果只是部分用户反映，你可以提醒用户换个网络试试，或者联系网络管理员排查内网的代理设置问题，一般就能解决了。
总结一下，SSL证书无效大部分都是配置或者过期这类小问题，按照上面的顺序一步步排查，从最常见的过期、域名不匹配开始检查，大部分问题都能很快解决。配置完成之后，可以用第三方SSL检测工具再扫描一遍，确认所有配置都正常，这样就能保证大部分用户都能正常访问你的HTTPS网站了。如果排查完还是找不到问题，可以把错误提示截图发给证书颁发机构的客服，让他们帮你进一步排查。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
