证书和证书链区别：中间证书最容易漏

证书和证书链区别，落到操作上就一句话：服务器证书是那张身份证，证书链是把这张身份证一路追到根的盖章记录。少盖一个章，身份证还是真的，可对方就是不认。见过太多站点，证书本身没毛病，域名对得上、没过期、私钥也匹配，可微信里一打开提示不安全，老一点的安卓机干脆白屏，App 里的 WebView 直接拦在外面。折腾半天查不出所以然，最后发现就是中间证书没带上。这毛病多半不是证书买错了，是链不全。

证书和证书链区别：漏掉的多是中间那一环

链一般是三段：你的域名证书（业内叫叶子证书）、签发你的那家中间证书、还有最上面的根证书。根证书不用你操心，浏览器和操作系统里本来就预装了一份，你给了反而多余。中间证书不一样，它必须由你的服务器在握手时一起发出去，客户端手里没有它，就没法把叶子证书接到根上。所以真正需要你在服务器上摆好的，是叶子加中间这两段。很多人以为证书就是一个文件，打开压缩包看见 yourdomain.crt 就完事，旁边那个 ca-bundle.crt、intermediate.crt、chain.crt 连解压都没解压。

为什么偏偏是中间证书被漏

第一是命名太乱。同一家服务商给的包里，有的叫 ca_bundle，有的叫 intermediate，有的干脆塞进一个叫 fullchain 的文件里，还有的把根证书也混进去，看名字猜不出哪个该传、哪个不该传。第二是面板的输入框太少，有的虚拟主机控制台就给你一个大文本框写「证书内容」，你不知道该往里贴什么，于是把叶子贴进去保存，能存就以为对了。第三是自我安慰——「我这儿打开正常啊」。这行里最常见的误判就是把一个人的浏览器当成全部用户的浏览器。

浏览器不报错，不代表链是对的

桌面版 Chrome、Edge 这类浏览器有个本事，链不全它能顺着证书里的地址自己去把中间证书抓回来补上，这就是所谓的 AIA 抓取。所以你坐在电脑前测，锁头绿油油，一切安好。换成 curl 跑一下，或者 Java 客户端连一下，人家不会替你补，直接甩一句 unable to get local issuer certificate，Java 那边更直白，PKIX path building failed。老安卓机、某些小程序、支付回调、App 内嵌页面，都是这个路子。浏览器不报错，只能说明你的浏览器宽容，不能说明你的链是对的。

怎么一眼看出链断在哪

用命令行最直接。openssl s_client -connect yourdomain.com:443 -showcerts，看输出的证书张数，正常应该是叶子加中间两张，有的会多带一张根。只吐出一张，基本可以确定漏了。再补一刀：curl -vI https://yourdomain.com，看握手阶段有没有报签发者找不到。手机上别只用自己的新机试，找个旧安卓或者让同事用流量开一下，差别就出来了。在线检测工具可以参考，但多数工具模拟的是浏览器的抓取路径，链断了它照样给你一个高分，别把它当唯一标准。

面板上的三个框，各归各位

虚拟主机和面板类工具，证书填写通常分成三格：证书、私钥、证书链。常见的错法有这么几种——把整包 PEM 一股脑贴进「证书」格，结果私钥格空着，保存直接失败；把中间证书贴进私钥格，格式一眼就不对；把链和叶子顺序颠倒，握手报错但看不出原因。正确的贴法是：叶子在前，中间在后，两段可以拼成一个文件，也可以分开填到各自格里，顺序不能反。私钥只对应叶子证书，别拿它去配中间证书。各家面板叫法不一样，具体填法以面板说明和服务商文档为准。

拼链的顺序和根证书那点事

Nginx 的写法是 ssl_certificate 指向一个全链文件，用 cat yourdomain.crt intermediate.crt > fullchain.pem 拼出来，注意先叶子后中间，ssl_certificate_key 指私钥。Apache 2.4.8 以后的版本可以直接把链写进 SSLCertificateFile，老版本才用 SSLCertificateChainFile 单独指。IIS 的路子不太一样，得先把中间证书导入「中间证书颁发机构」这个存储区，再回来完成证书请求。至于根证书，客户端自己带着，你塞进去除了让握手时多发一段数据，没别的好处，个别客户端还会因此挑刺。

续期时最容易忘的一步

证书快到期，多数人的动作是「续费、下载、上传、重启」，然后就收工了。问题在于中间证书也会换、也会过期，服务商那边轮换了签发链，你手上那份旧的中间证书还在服务器上站着。叶子证书是新的，中间是旧的，一段时间内看着没事，等旧中间证书过期，整站又开始报不安全。稳妥的做法是每次续期都把整个压缩包重新下一遍，别从旧目录里翻文件。中间证书的更换节奏各家不固定，具体以服务商公告和官方页面说明为准。

最后给个能照着走的检查顺序：一、用 openssl s_client 数服务器实际发出的凭证张数；二、桌面浏览器、手机流量、一个非浏览器客户端，三处都试一遍；三、面板里证书、私钥、证书链三格对号入座，顺序叶子在前；四、确认根证书没被顺手塞进去；五、续期时整包重下。这五条走完，剩下的问题基本不在证书上了，该去看看域名解析和端口。