证书不被信任——问题多半不在证书本身

浏览器地址栏一红，弹一句「您的连接不是私密连接」，十个人里有八个第一反应是回证书后台点重新签发。这一步多半白折腾。证书不被信任这件事，真正的原因很少落在证书文件本身——链没带全、域名对不上、服务器时间跑偏、客户端系统太旧，甚至公司电脑里那个开了 HTTPS 扫描的杀毒软件，都能让一张好证书被判死刑。证书只是被推到前台挨骂的那个倒霉蛋。先把排查顺序摆正，省下来的不只是一张证书的钱，还有你半夜盯着屏幕的那几个钟头。

证书不被信任，八成是中间证书没带全

证书不是一张纸，是一串。你从服务商那边下载下来的压缩包里通常有两个东西：域名证书和中间证书。浏览器要顺着这条链一路往上爬到它认识的那个根，中间少一环，它就当场喊不信任。报错信息看着吓人，Chrome 给的是 NET::ERR_CERT_AUTHORITY_INVALID，Firefox 说得更直白——「未知的颁发机构」。不少人一看「未知颁发机构」就以为证书来路不正，实际上是中间证书压根没装上。

nginx 那两行配置是最容易出错的地方：ssl_certificate 要指向 fullchain.pem，不是那个只有一张的 domain.crt；ssl_certificate_key 才是私钥。拼接顺序也别搞反，服务器证书放前面，中间证书接在后面，反了之后部分老客户端能过、新浏览器反而报错，这种「一会儿好一会儿坏」的现象最难查。自查一条命令就够：openssl s_client -connect example.com:443 -servername example.com -showcerts，看输出里 verify 那一行和证书数量，正常应该有两张以上，只剩一张，病根基本就找到了。

域名对不上，证书再新也白搭

www 和裸域在证书眼里是两个名字。只给 example.com 签的那张，裸域能过，www.example.com 立刻打叉。还有一种藏得深的：中间夹了一层跳转，用户访问的域名和最终落地的域名不是一个，证书是给落地域名签的，可握手发生在第一步，浏览器看到的就是不匹配。别只盯 CN 那一个字段，把 SAN 列表拉出来，一个一个跟你 DNS 里实际解析出去的域名对。有人换了域名忘了补进证书，有人新开二级域名还指望主域那张能盖住，都不行。证书里的名字是死的，域名是活的，两边得手动对齐。

服务器时间跑偏，这种低级错最难想到

证书有生效时间和失效时间，服务器系统时间偏出去太多，验证直接失败。见过 VPS 重装完时区没设、时间停在好几年前的，也见过有人手贱把面板时间改回去的。一条 date 命令就能看出来，用 chrony 或者 ntpdate 校一下就好。客户端这头一个道理，手机时间手动调过、老笔记本主板电池没电，照样弹同样的警告。排了半天服务器，最后发现是用户自己的表不准，这种事不是没发生过。

客户端太老，根证书库根本不认它

免费证书便宜好用，但它挂的那个根，有些老系统压根没收录。Windows Server 2008、远古版本的 Android、还有一堆工业设备里塞的嵌入式浏览器，就是认不出来。这不是你配置写错了，是对方系统太旧。要么换一张走老根的商业证书，要么推动这部分客户端升级。取舍看你访客的构成，后台管理系统内部用，推动升级不难；面向公众的站，就得掂量掂量。根证书库这种事，以各系统和证书颁发机构的官方说明为准，别听群里转发的截图。

CDN 上那份证书，很多人忘了换

用了 CDN 的话，浏览器看到的是 CDN 节点上那张证书，不是源站那张。源站续签完、配置也改好了，CDN 后台里的证书还是旧的，用户那头照样红。这类问题最迷惑人——你在自己电脑上用 curl 直连源站一切正常，换个网络走 CDN 就报错。查的时候两边都看，别只盯着服务器。

锁变灰了？那多半是混合内容

还有一种常见误会：地址栏的小锁变灰、或者带个黄色三角，很多人也归到证书不被信任里。其实证书本身没问题，是页面里混进了 http 的资源——图片、脚本、字体，某一个还是 http:// 开头，浏览器就把它标成「部分不安全」。按 F12 打开控制台，会直接列出那些被拦下的地址，改成 https 或者干脆本地托管就完了。这跟证书链、跟签发机构一点关系没有。

三步自查，比重新签发管用

第一步，用 openssl s_client 或者 curl -vI https://你的域名，看证书链是否完整、有效期对不对、SAN 里有没有当前域名。第二步，浏览器 F12 的安全面板，看它给出来的证书链和系统识别结果。第三步，换个设备、换个网络复现一次，判断问题在服务端还是在客户端。多数情况第一步就露馅了。重新签发只能解决到期和域名变更这两类，链不全、时间跑偏这些，换十张证书也照样红。

最后留一句提醒：这条报错天生含糊，「不被信任」四个字背后可能藏着七八种原因。把链、域名、时间、客户端这四样先筛一遍，再决定要不要动证书。真拿不准，把 openssl 的完整输出贴进服务商工单，比自己在论坛里翻半天靠谱得多。证书这东西，配对了它就是个安静的小锁，没人会注意它。