ssl证书不可信怎么解决？一步步排查方法

很多站长搭建网站的时候，经常会遇到打开网站浏览器提示「SSL证书不可信」的错误，不仅访客不敢进网站，自己看着也头疼，不知道问题出在哪。其实SSL证书不可信大部分都是小问题，按照固定的步骤一步步排查就能找到原因解决，今天就给大家分享一套实用的排查解决流程，新手站长也能轻松操作。

先确认：证书不可信是什么样的提示

不同浏览器提示不一样，Chrome一般会说「您的连接不是私密连接」，「攻击者可能会从你的网站窃取信息」，Edge会提示「此网站的安全证书有问题」，Firefox会提示「警告：潜在的安全风险」，这些都属于SSL证书不可信的范畴。出现这类提示，一般是证书本身出了问题，或者服务器配置不对，我们从最常见的原因开始排查。

最常见原因：证书已经过期了

SSL证书都是有有效期的，最长有效期目前是两年，免费证书一般是三个月，如果你忘记续签证书，证书过期之后浏览器就会提示不可信。你可以登录证书颁发机构的后台，查看证书的到期时间，如果确实过期了，重新申请续签证书，然后把新的证书部署到服务器上，重启web服务之后刷新网站就能解决问题。现在大部分主流域名注册商和云服务商都支持自动续签，开启这个功能就不会再出现过期问题了。

第二个常见原因：证书和域名不匹配

如果你是刚申请的证书，部署之后就提示不可信，很大概率是证书绑定的域名和你现在访问的域名不匹配。比如你只申请了主域名的证书，没有给www子域名申请证书，访问www开头的域名就会提示不匹配。或者你换了域名之后还用旧域名的证书，也会出现这个问题。解决方法就是重新申请对应域名的证书，如果你需要多个子域名用同一个证书，可以申请通配符证书，这样所有二级子域名都可以用，比较方便。

第三个原因：证书链不完整导致不信任

很多CA机构颁发证书的时候，会同时给你中间证书，部署SSL证书的时候需要把完整的证书链部署进去，如果只上传了你的域名证书，没有部署中间证书，很多浏览器就会识别为证书不可信。这种情况一般出现在自己手动上传部署证书的时候，你可以回到证书申请的后台，重新下载完整的证书压缩包，里面一般会有包含完整证书链的文件，重新上传部署覆盖旧证书，重启服务之后就能解决。

第四个原因：浏览器根证书不被信任

这种情况一般出现在一些自签名证书或者小CA机构颁发的证书上，自签名证书是自己生成的证书，没有经过权威CA机构验证，所以浏览器不会默认信任它。如果你用了自签名证书，就会一直提示不可信，这种证书适合内部测试用，不适合对公网站使用。解决方法很简单，直接注销掉自签名证书，换成正规CA机构颁发的免费或者收费证书就能解决，正规CA的证书都会被主流浏览器信任。

第五个原因：服务器配置错误导致证书不对

如果你同一个服务器上部署了多个网站，也就是常说的多站点部署，配置错了证书的对应关系，就会导致访问某个网站的时候加载了另一个网站的证书，浏览器自然会提示证书不可信。这时候你需要去服务器的web配置文件里，检查每个域名对应的证书路径和端口配置，确认每个域名都绑定了自己正确的证书，修改配置之后重启web服务再测试访问就好了。

少见情况：操作系统或浏览器版本太旧

部分非常旧的操作系统，比如Windows XP，或者非常旧版本的浏览器，根证书列表没有更新，不认新的CA机构根证书，也会提示SSL证书不可信。这种情况一般只出现在极少数用旧设备旧系统的访客设备上，正常新设备不会有这个问题。如果你遇到这种情况，可以提示访客更新操作系统和浏览器，或者确认你的证书是不是兼容旧版本系统，大部分正规CA的证书现在都兼容主流旧系统，很少出问题。

总的来说，SSL证书不可信大部分都是前面几种常见原因导致的，要么过期，要么域名不匹配，要么就是证书链不完整，按照上面的步骤一步步排查，一般很快就能解决问题。如果排查完所有常见原因还是不行，可以联系你申请证书的CA机构客服，把你的错误提示截图发给他们，一般客服都会帮你定位问题解决，不用太过担心。