上一篇
https提示证书风险
HTTPS证书风险提示通常因证书过期、自签名或颁发机构不可信，需检查系统时间，验证证书有效性，或联系
HTTPS证书风险提示的原因与解决方法
常见触发证书风险的场景
| 风险类型 | 具体表现 |
|---|---|
| 证书过期 | 网站SSL证书已超过有效期，浏览器显示“证书已过期”或“失效”提示 |
| 证书名称不匹配 | 证书绑定的域名与当前访问的域名不一致（如访问example.com但证书发给test.com） |
| 颁发机构不可信 | 证书由非权威CA机构签发（如自签名证书），或证书链中存在不被信任的机构 |
| 证书被改动 | 被中间人攻击修改，导致哈希校验失败 |
| 系统时间错误 | 客户端电脑时间与证书时间不同步（如系统时间早于证书生效时间或晚于过期时间） |
如何识别证书风险
查看证书详情
- 点击浏览器地址栏的锁形图标 → 查看“证书有效日期”“颁发机构”“使用者姓名”等信息。
- 若颁发机构显示为“未知”或“自签名”，需警惕风险。
检查HTTPS连接安全性
- 完整HTTPS地址应以
https://开头，且证书详情中协议版本应为TLS 1.2+。 - 若地址栏出现“不安全”提示，说明存在混合内容（如网页中加载了HTTP资源）。
- 完整HTTPS地址应以
验证域名匹配
- 证书的“主题名称”（Common Name）或“主观备用名称”（SAN）需包含当前访问的域名。
- 访问
sub.example.com时，证书需明确包含该子域名。
解决方案与操作步骤
| 问题类型 | 解决方法 |
|---|---|
| 证书过期 | 联系网站管理员更新证书 临时应急可手动同步时间并忽略警告（不推荐） |
| 域名不匹配 | 确认访问的是正确的域名 若为测试环境，可手动添加异常例外（仅限信任的场景） |
| 自签名证书 | 仅在内部网络或可信环境下使用 将自签名证书导入系统受信任根存储 |
| 系统时间错误 | 校准客户端电脑时间 重启网络设备（如路由器） |
| 证书链不完整 | 检查服务器是否正确配置中间证书 联系CA机构重新下载证书链 |
高风险场景处理建议
- 银行/支付类网站：若证书异常，立即停止操作，联系官方客服核实。
- 公共网络环境：避免在证书异常时输入账号密码，可能遭遇MITM攻击。
- 企业内网系统：建议使用内部CA签发的证书，并统一部署到员工设备。
相关问题与解答
问题1：浏览器提示“证书危险”，但网站看起来正常，可以继续访问吗？
解答：
不建议继续访问，尤其是涉及登录或敏感操作时，证书风险可能意味着：
- 网站被改动（如破解伪造证书）
- 数据传输可能被拦截
- 实际访问的是钓鱼网站
若必须访问，需通过其他渠道（如电话联系）确认网站真实性。
问题2：如何区分“自签名证书”和“受信任机构颁发的证书”？
解答：
- 查看颁发机构：
- 受信任证书：颁发机构为
DigiCert、Let's Encrypt、GlobalSign等知名CA。 - 自签名证书：颁发机构通常显示为“自身域名”或“未知机构”。
- 受信任证书：颁发机构为
- 验证证书链：
- 受信任证书会附带完整的中间证书链,浏览器可自动验证。
- 自签名证书无上级链,浏览器会标记为“不受信任”。
- 适用场景：
自签名证书仅适合内部测试或局域网环境,公网使用需向权威CA
