上一篇
http证书错误怎么解决？浏览器提示ssl证书无效怎么办
HTTP 证书错误通常表现为浏览器地址栏出现“不安全”警告、红色禁止符号，或弹出 NET::ERR_CERT_AUTHORITY_INVALID、SSL_ERROR_BAD_CERT_DOMAIN 等具体错误代码，这通常意味着浏览器无法验证网站服务器的身份，或者通信过程中的加密链路存在隐患，解决这一问题需要从客户端（用户侧）和服务器端（网站管理员侧）两个维度进行排查和处理。
客户端常见原因及解决方法
对于普通用户而言,遇到证书错误时，首先应判断是否为本地环境或临时性故障。
系统时间与日期不正确
SSL/TLS 证书具有严格的有效期限，如果用户设备的系统时间早于证书的“生效日期”或晚于“过期日期”，浏览器会判定证书无效。
- 解决方法：检查电脑或手机的系统时间，确保其与当前标准时间一致，建议开启“自动设置时间”功能。
浏览器缓存或 Cookie 冲突
旧的缓存数据可能导致浏览器加载了过期的证书信息。
- 解决方法：
- 尝试使用浏览器的“无痕模式”或“隐私模式”访问该网站。
- 如果无痕模式正常,则需清除浏览器的缓存和 Cookie。
安装了不受信任的根证书或安全软件干扰
某些企业内网环境、杀毒软件或网络加速器可能会拦截 HTTPS 流量进行扫描，从而替换或杜撰证书，导致浏览器报错。
- 解决方法：
- 暂时禁用杀毒软件的网络保护功能进行测试。
- 如果是企业内网,需联系 IT 部门安装公司指定的根证书。
浏览器本身的问题
浏览器版本过旧可能不支持新的加密算法或证书类型。
- 解决方法：更新浏览器至最新版本，或尝试更换其他浏览器（如 Chrome、Edge、Firefox）进行访问。
服务器端常见原因及解决方法
如果您是网站管理员,或者确认其他用户也遇到相同问题，则问题很可能出在服务器配置上。
证书已过期
这是最常见的原因,SSL 证书通常有效期为 1 年或 3 年，过期后必须重新申请和部署。
- 解决方法：登录证书颁发机构（CA）控制台，申请新证书并替换服务器上的旧证书。
证书域名不匹配
证书是绑定特定域名的,如果网站从 www.example.com 迁移到 example.com，或者使用了子域名但证书未包含该子域名，就会报错。
- 解决方法：申请包含所有相关域名（如同时包含 www 和裸域）的泛域名证书（Wildcard Certificate）或多域名证书（SAN Certificate）。
证书链不完整
浏览器在验证证书时,需要完整的信任链：从服务器证书 -> 中间证书 -> 根证书，如果服务器只配置了服务器证书而遗漏了中间证书，部分浏览器（尤其是移动端）会报错。
- 解决方法：在服务器配置中，将“服务器证书”和“中间证书”合并为一个 .pem 或 .crt 文件，或者在 Nginx/Apache 配置中明确指定 ssl_certificate 包含完整链。
使用了自签名证书
自签名证书没有经过受信任的 CA 机构签名，浏览器默认不信任。
- 解决方法：
- 生产环境：强烈建议申请免费的 Let’s Encrypt 证书或付费的商业证书。
- 测试环境：若必须使用自签名证书，需在每台客户端设备上手动导入并信任该根证书。
快速排查对照表
| 错误现象/代码 | 可能原因 | 推荐解决步骤 |
|---|---|---|
| NET::ERR_CERT_DATE_INVALID | 系统时间错误 或 证书过期 | 校准系统时间 检查证书有效期 |
| NET::ERR_CERT_AUTHORITY_INVALID | 证书不受信任 或 链不完整 | 检查是否安装了正确的中间证书 确认证书由知名 CA 颁发 |
| NET::ERR_CERT_COMMON_NAME_INVALID | 域名不匹配 | 检查访问的域名是否与证书签发域名一致 申请包含该域名的新证书 |
| SSL_ERROR_BAD_CERT_DOMAIN (Firefox) | 域名不匹配 或 通配符使用不当 | 确认域名完全匹配 检查是否使用了错误的通配符格式 |
| 连接被重置 / 无法建立安全连接 | 防火墙拦截 或 端口错误 | 检查服务器 443 端口是否开放 检查防火墙或 WAF 设置 |
高级调试工具推荐
在解决服务器端证书问题时,可以使用在线工具快速检测证书配置是否正确：
- SSL Labs (Qualys): 提供详细的 SSL 配置评分，能指出证书链缺失、弱加密算法等问题。
- DigiCert SSL Installation Diagnostic Tool: 帮助诊断证书安装过程中的常见错误。
- OpenSSL 命令行: openssl s_client -connect example.com:443 -servername example.com
通过查看输出信息中的 Verify return code 来判断证书链是否完整。
相关问题与解答
问题 1：为什么我在内网访问公司网站提示证书错误，但外网正常？
解答：
这通常是因为内网访问使用的是内部 DNS 解析到的 IP 地址，而该 IP 对应的服务器可能配置了自签名证书，或者内网服务器上的证书域名与外网不同，某些企业级防火墙或上网行为管理设备会对 HTTPS 流量进行“中间人”解密扫描，这会替换原始证书。
解决建议：
- 确认内网访问的域名是否与证书绑定的域名一致。
- 如果是防火墙拦截导致,需在内网客户端安装防火墙提供的根证书以建立信任。
- 如果是服务器配置问题,需在内网服务器上也部署正确的、域名匹配的证书。
问题 2：Let’s Encrypt 免费证书过期后，如何自动续期以避免再次出现证书错误？
解答：
Let’s Encrypt 证书有效期仅为 90 天，手动续期容易遗忘，实现自动续期的关键在于配置定时任务（Cron Job）。
解决建议：
- 使用 Certbot 工具：在 Linux 服务器上安装 Certbot，运行 certbot renew --dry-run 测试续期流程。
- 配置 Cron 任务：添加定时任务，例如每天凌晨随机时间运行 certbot renew --quiet。
- 重载 Web 服务器：在 Certbot 配置中设置 deploy hook，确保证书续期成功后自动重载 Nginx 或 Apache 服务，使新证书立即生效。
- 监控告警：配置邮件或钉钉/企业微信告警，当续期失败时及时通知管理员。
