SSL证书缺个角，访问真会受影响？

SSL证书缺个角访问真会受影响吗？会，但表现形式跟大多数人想的完全不一样。它很少让整站瞬间打不开，更常见的是「你这边一切正常、别人那边就是进不来」——同一个网址，你在自己电脑上刷得飞快，客户发来的截图却是白屏加一行红字，或者手机点了半天一直在转圈。这种半死不活的状态最费劲，因为监控不报警，测速工具打分还很高，只有真正在用某些设备、某些客户端的人才会撞上。所以下面要聊的重点，不是证书有没有装，而是装上去的那条链子是不是完整的。

SSL证书缺个角访问真会受影响？先看清缺的是哪一角

业内更常说的词是「证书链不完整」。一张 SSL 证书从来不是单个文件，它得配着中间证书一起交给客户端，浏览器才能顺着这条路径，一路走到它本来就信得过的根证书。你把叶子证书（也就是签发给你那个域名的那张）单独往服务器上一放，链子中间就断了一截。断的位置不同，各家客户端的表现也不一样：桌面 Chrome 这类浏览器有时候会自己去抓缺失的中间证书（有个叫 AIA 抓取的机制），于是你在办公室看着一切正常；换成安卓上的老版本 WebView、微信内置浏览器、某个跑在 Java 里的对账程序、命令行里的 curl，它不会替你补，直接就甩一句 certificate verify failed 过来。

除了链断，还有几种情况也常被归到「缺个角」这个筐里：证书过期了没人续、SAN 里漏了带 www 的那条域名、服务器系统时间跑偏觉得现在还是去年、协议版本对不上老客户端只肯谈 TLS 1.0、一台机器上挂了好几域名却没配 SNI。这些最后都落到同一句话上——一部分访问能过，一部分过不去。

链子断在中间，桌面端正常手机端炸

具体是什么感觉？网站后台的运营同事用自己的 Mac 打开一切正常，logo 图片、支付页、下载按钮都好好的；可客服那边接到的反馈全是「页面一直在加载」「点提交没反应」。再细问，出问题的多半是安卓机、微信里打开的链接、或者是跟银行对接的那个自动拉数据的脚本。这时候很多人第一反应是去查 CDN、查服务器负载、查防火墙，折腾一圈才发现源站证书只传了半截。还有一种更隐蔽的：小程序端调接口直接抛网络异常，前端日志里根本看不到 HTTP 状态码，因为 TLS 握手就没成功，连接压根没建起来。

一条 openssl 命令，链子全不全都摊在屏幕上

别靠肉眼猜，服务器上敲这一条就够了：openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts </dev/null。屏幕上会打出若干段以 s: 开头的证书内容和一条 Certificate chain 的路径，最关键是最后那句 Verify return code。如果显示 0 (ok)，链路就是齐的；出现 unable to get local issuer certificate（编号 20）这类返回，八成就是中间证书没带。域名和有效期也能顺手一起查：openssl s_client -connect www.example.com:443 -servername www.example.com 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName，SAN 那一行里有哪些域名，一眼就能看出来漏没漏 www 或者漏没漏某个子域。

不想碰命令行也行。浏览器按 F12 进「安全」面板，点查看证书，再点证书路径，正常应该是一条从叶子到中间的完整树；如果中间那张显示成灰色、带感叹号或者干脆缺一格，答案已经很明显了。第三方在线的证书检测工具也能给出链路诊断，具体评级口径以工具页面说明为准，别把评级当唯一标准，它只是帮你看链路全不全。

免费证书最容易缺的那一角

免费 DV 证书是最容易踩这个坑的。签发流程一般只给你一张域名证书，中间证书得自己去官方仓库下载。nginx 上正确的写法是把叶子证书和中间证书按顺序拼成一个 fullchain.pem（叶子放前面、中间放后面，根证书一般不用往里塞），然后 ssl_certificate 指向这个 fullchain，ssl_certificate_key 指私钥。Apache 在 2.4.8 之后的版本可以让 SSLCertificateFile 直接指向 fullchain，老版本则要把 SSLCertificateChainFile 单独指向中间证书那一份，漏写这条就缺角。面板类的工具通常会给两个输入框，一个放证书、一个放证书链，从别处复制粘贴的时候只贴了上面那一栏，下面空着——这就是最常见的现场。

过期、域名不对、系统时间跑偏，这几样不算缺角，疼起来一样

有的网站证书链是完整的，但签发时间已经翻篇了，浏览器直接给你一张警告页，用户点「继续前往」的越来越少，转化掉得比断链还狠。有的是证书 SAN 里只有 example.com 却没有 www.example.com，于是主域能开、带 www 的进不去，两边跳来跳去地打架。还有一种是服务器时间漂移，机器上的 date 一查差了十几分钟甚至几个小时，客户端校验有效期时就会判定证书「还没生效」或者「已过期」。这类问题不叫缺角，但对访问的影响是一模一样的，排查时别只盯着链路一个方向。

https 页面里塞着 http 资源，锁一样会变灰

这一条严格说不属于证书本身的问题，但用户看到的提示一模一样。页面是用 https 打开的，里面引用的图片、旧版统计脚本、外部字体还是 http 地址，浏览器就会在控制台里报 mixed content，地址栏旁边的锁要么变灰、要么变成带警告的小图标。表单提交类的混合内容现在很多浏览器是直接拦死，用户点提交没反应就是这么来的。修法不难：资源地址统一换成 https，能迁到支持 https 的 CDN 就迁，实在有历史包袱的，可以在响应头里加一条 Content-Security-Policy: upgrade-insecure-requests，让浏览器自动把 http 请求升级。

上线前照着这几条过一遍

证书路径：叶子在前，中间跟上，顺序别反；域名覆盖：主域、带 www、还有 API 用的那个子域，SAN 里都得有；有效期：续期脚本有没有真的跑成功，别只看日历提醒；系统时间：date -u 对一下，ntp 或 chrony 服务在不在跑；协议版本：TLS 1.2 起，老旧的加密套件该关就关；混合内容：浏览器控制台清一遍红色警告；最后再拿手机、微信、curl 分别访问一次，三条不同路径都通过，才算真的上线。

所以结论回到开头那句：证书缺个角，访问肯定会受影响，只是它挑人挑设备，不容易被自己发现。真遇上了也别急着重签一张——先花几分钟把链路跑一遍命令看清楚缺的是哪一格，比换证书省事得多。至于证书校验和浏览器策略的细节，各家版本更新很快，拿不准就以服务商或官方页面说明为准。