弄懂证书链认证流程很重要

前几天帮一个朋友排查网站问题，他花大价钱买了正规SSL证书，装完之后Chrome浏览器总是弹不安全提示，Safari倒好好的。翻来覆去查了半小时，哦原来是证书链没配对，中间根证书丢了一截。这下你看，弄懂证书链认证流程很重要吧？不是说买个证书扔服务器上就完事了，一堆小坑等着你踩呢。

弄懂证书链认证流程很重要的核心原因

我那个朋友当时急得快跳脚，他马上要开一场小型推广活动，要是用户点进来直接弹不安全，那流失的用户可不少。说起来现在主流浏览器对证书信任链的校验越来越严格，早几年缺个中间证书可能还能蒙混过关，现在直接给你标红，大部分用户根本不会敢继续访问。

不止浏览器的问题，很多移动端和PC端的校验规则还不一样，我之前就碰过好几个案例，PC端访问好好的，移动端一打开就提示连接不安全，找来找去最后都是证书链不完整的锅。还有就是搜索引擎现在对HTTPS站点偏好度更高，要是证书链出问题，不仅用户进不来，还可能影响收录排名，这不亏大了？

简单说说证书链到底是什么

其实说白了，证书链就是一串证书的信任关系，从你的域名证书开始，往上找中间CA，再找根CA，根CA是浏览器预装的，信任根就信任整个链条上的所有证书。要是中间缺了某一环，浏览器找不到信任起点，就直接给你标不安全了。

哦对了，我刚接触这块的时候也搞混过根证书和中间证书的区别，以为只要把自己的域名证书传上去就够了，折腾了大半天都不对。现在才明白，根证书是自签名的，早就存在浏览器和操作系统里了，中间证书才是CA机构给我们用来配服务器的，必须加上，不然链条直接就断了。

走一遍完整的证书链认证流程

其实整个流程说起来不复杂，我给你捋一遍大概就能明白。当用户打开浏览器输入你的网址，发起HTTPS连接请求，第一步服务器会把域名证书和所有需要的中间证书一起打包发给浏览器。浏览器拿到之后，从你的域名证书开始，一级一级往上校验每一级的签名对不对，一直追溯到浏览器预装的根证书为止。

如果每一步校验都通过，连接就顺利建立，浏览器地址栏会显示那个安心的小锁图标；要是某一步找不到对应证书，或者签名验证不通过，浏览器就直接弹出安全警告，阻止用户继续访问。也有一些特殊情况，比如老CA机构的根证书过期了，要是你用的还是他们的老证书，也会出问题，这个时候就得重新换证书补全证书链才行，以服务商或官方页面说明为准。

常见的证书链问题都有哪些

我碰到最多的就是配置的时候没把中间证书加上，CA机构给你证书的时候一般会打包好所有需要的文件，很多新手站长不知道要加上中间证书，就只传了自己的域名证书，结果自然出问题。这种其实最好解决，回去重新把中间证书加上就好了。

还有一种就是证书顺序错了，证书链的顺序不能乱，得从域名证书开始依次往上排，很多人把顺序搞反了，浏览器识别不出来，照样出问题。还有就是不同服务器的配置方法不一样，Nginx、Apache还有IIS的配置路径和写法都有区别，很多人照着网上的教程抄，没注意自己用的是什么服务器，结果配错了。上个月我还碰到一个客户，更新完证书之后旧证书没清干净，新旧证书链混在一起冲突了，导致部分用户打不开，折腾了半天才发现是这个问题。

怎么快速排查证书链问题

其实现在网上有很多免费的在线工具，输入你的域名就能一键检测证书链完不完整，缺不缺文件，非常方便。我一般都建议站长们配完证书之后，一定要去查一遍，别等用户反映出问题了才来着急。

要是真查出问题了也不用慌，大部分情况都是缺中间证书，重新去CA机构的官方页面下载完整的证书包，按照对应服务器的教程重新配置一遍就好了。实在搞不定的话找服务商帮忙核对一下，大多数小问题几分钟就能搞定，不是什么难搞的大故障。

其实做网站就是这么回事，很多细节看起来不起眼，真出问题了才知道有多麻烦，证书链就是这么一个典型的例子。不要觉得买了正规证书就万事大吉，配置完一定要多测几遍，不同浏览器不同设备都打开看看，没问题再正式对外推广。毕竟多花十分钟检查，比出了问题再花几个小时折腾强多了，你说是不是这个理？