SSL证书错误是咋回事？常见原因与解决方法

不少站长搭建好网站后，一打开HTTPS版本就提示SSL证书错误，浏览器直接标红色警告，不让用户访问，看着就头大。还有的用户说我刚申请安装好证书怎么就报错了？SSL证书错误原因很多，不是所有错误都要重新申请证书，今天我就把常见的错误原因和对应的解决方法整理出来，遇到问题对着一步步排查就能搞定。

先分清：不同类型的SSL证书错误提示

首先得先看懂浏览器给出的错误提示，不同提示对应的问题不一样，解决方法也就不一样。常见的错误类型有：证书不受信任、证书过期、证书域名不匹配、证书链不完整、混合内容错误这几种。比如Chrome浏览器会显示“您的连接不是私密连接”，火狐会显示“你的连接不安全”，不同浏览器说法不一样，但核心问题就那几类，我们挨个说怎么解决。

证书不受信任错误怎么解决

证书不受信任是最常见的错误之一，出现这个问题大多是你安装证书的时候，只安装了你的域名证书，没有安装中间证书（也叫链证书）。很多新手申请证书后，会把下载的证书文件直接上传安装，忽略了中间证书文件，导致浏览器不信任你的证书链。如果你用的是Nginx服务器，可以检查一下你的配置文件，是不是只配置了cert文件，没有配置trusted_certificate或者fullchain.pem。如果是Apache服务器，检查一下SSLCACertificateFile指令有没有配置正确的中间证书路径。解决方法很简单，重新去证书颁发机构下载完整的证书包，把中间证书也上传到服务器，重新配置重启服务就行。还有一种情况是你用了自签名证书，这种证书本来就不被浏览器信任，适合内部测试用，对外的网站一定要用受信任的CA颁发的证书。

证书过期错误怎么处理

SSL证书是有有效期的，最长也就两年，到期不更新就会提示证书过期错误，这个很好解决，直接重新申请新证书替换就行。很多新手容易忘更新，建议你在证书到期前一个月就设置提醒，提前申请更换，避免网站一直提示错误影响用户访问。如果你用的是Let’s Encrypt这种免费证书，它的有效期只有90天，建议你开启自动续订，到期自动更新就不用手动操作了，很多服务器面板和证书管理工具都支持自动续订，打开这个功能就不用操心过期的问题了。

证书域名不匹配错误怎么排查

这种错误就是你申请证书的域名和你实际用的域名对不上，比如你申请的是www.abc.com，结果你给abc.com用了，或者你申请的是单域名证书，却给多个子域名用了，这就会出现域名不匹配的错误。如果你同时带www和不带www两个域名，申请证书的时候一定要记得两个域名都加进去，或者直接申请泛域名证书覆盖所有子域名。如果你是刚更换了证书，或者刚解析完域名，可能是DNS缓存还没更新，可以等几个小时再试试，或者清除本地DNS缓存后再访问看看。还有一种情况，就是你网站部署了CDN加速，CDN节点用的证书和你源站证书冲突，这时候需要去CDN后台检查证书配置是不是正确。

证书链不完整怎么补全

证书链不完整其实和证书不受信任原因很像，很多时候就是服务器配置不当导致的，比如你只上传了域名证书，没有把根证书和中间证书拼接进去。不同服务器配置方式不一样，拿Nginx来说，正确的做法是把你的域名证书、中间证书、根证书按照顺序拼接成一个fullchain文件，然后在配置文件里指定这个文件作为ssl_certificate。如果是Apache服务器，需要把证书文件分别配置到SSLCertificateFile、SSLCertificateChainFile指令里。你可以用网上免费的SSL证书链检测工具，输入你的域名就能检测证书链是不是完整，工具会告诉你缺哪个证书，按照提示补上就行。

混合内容错误怎么修复

网站已经部署了SSL证书，打开后还是提示不安全，大多是混合内容错误，就是网页里既有HTTPS资源，又有HTTP资源，比如图片、CSS、JS链接还是用的HTTP，浏览器就会提示不安全。解决混合内容错误的方法也很简单，首先你可以在网站后台把网站地址改成HTTPS，然后检查网页源码里所有的资源链接，把HTTP改成HTTPS。要是用WordPress建站的，可以安装 Really Simple SSL 这类插件，一键就能替换所有站内资源的HTTP链接。还可以在web服务器配置里加一个301跳转，把所有HTTP请求跳转到HTTPS，同时在nginx或者apache里加一条规则，自动把页面里的HTTP链接替换成HTTPS，这样就不用手动改代码了。

刚安装完证书就报错怎么办

很多新手刚安装完证书就提示错误，这时候先别急着重新申请，先检查几个点：首先是域名解析是不是正确，你有没有把域名解析到正确的服务器IP，服务器上有没有正确绑定这个域名。然后检查服务器的443端口是不是开放了，很多服务器防火墙默认会拦截443端口，SSL证书是需要443端口提供HTTPS服务的，要是防火墙没开这个端口，浏览器肯定访问出错。最后检查证书文件路径配置对不对，有没有写错文件路径，或者权限设置不对导致web服务器读不到证书文件。按照这三个点检查一遍，90%以上的新安装错误都能找到原因。

总的来说，SSL证书错误大部分都是配置问题，很少是证书本身的问题，遇到错误先对着上面的分类一步步排查，找到原因后再动手解决，不要上来就重新申请证书折腾自己。要是实在找不出原因，可以把你的错误提示复制到证书颁发机构的帮助中心搜索，大部分常见问题都能找到官方的解决方法，比自己瞎摸索效率高多了。