查看并下载SSL证书对应的中级证书，最直接的方法是访问证书颁发机构（CA）官网的证书存储库，或使用OpenSSL命令行工具提取服务器证书链中的中间部分。
很多站长在配置Nginx或Apache时,经常遇到浏览器提示“证书链不完整”或“不受信任”的报错，这通常不是主域名证书本身的问题，而是缺少了连接根证书和域名证书之间的“桥梁”中级证书，中级证书由CA颁发，用于证明你的域名证书是合法的，但它本身不被浏览器直接信任，必须通过根证书来背书，理解这一点，是解决HTTPS信任问题的关键。
中级证书的核心作用与查看场景
中级证书在PKI（公钥基础设施）信任链中扮演着承上启下的角色，根证书通常离线存储，极少直接签署域名证书，而是通过中级证书进行签发，这种层级结构提高了安全性，也便于证书更新。
为什么你的网站需要中级证书？
当用户访问你的网站时,浏览器会验证证书链，如果服务器只发送了域名证书，浏览器找不到上级签发者，就会报错，业内专家指出，完整的证书链包含三部分：域名证书、中级证书、根证书，中级证书往往需要手动配置，因为大多数CA默认只下发域名证书。
常见报错场景分析
不同浏览器对证书链的容忍度不同,Chrome和Firefox通常比较严格，一旦缺少中级证书，就会显示“不安全”警告，而部分老旧浏览器或特定客户端可能忽略此问题，导致用户体验不一致，据统计，相当一部分企业网站因配置疏忽，在移动端出现信任警告，直接影响转化率。
如何手动查看中级证书内容
在动手下载之前,先确认当前服务器是否真的缺少中级证书，或者查看现有证书链的详细信息，这有助于你判断问题根源。
使用在线工具快速检测
这是最直观的方法,你可以使用Qualys SSL Labs、DigiCert SSL Installation Diagnostics等权威在线工具，输入你的域名，工具会扫描并展示完整的证书链结构，如果结果显示“Chain issues”或“Incomplete Chain”，则说明中级证书缺失或配置错误。
通过命令行查看证书链
对于习惯使用Linux系统的管理员,命令行工具提供了更精确的控制，你可以使用OpenSSL命令连接服务器并查看证书信息。
具体操作步骤如下：
- 打开终端,输入以下命令：
openssl s_client -connect yourdomain.com:443 -showcerts
- 观察输出结果,你会看到以“—–BEGIN CERTIFICATE—–”开头的内容。
- 第一个证书通常是你的域名证书。
- 紧随其后的证书即为中级证书,如果有多个，按顺序排列。
- 你可以复制这些内容,保存为.pem文件进行比对。
提取单个中级证书
如果你只想查看特定的中级证书,可以使用awk命令进行过滤，提取第二个证书：
openssl s_client -connect yourdomain.com:443 -showcerts | awk '/BEGIN CERTIFICATE/,/END CERTIFICATE/{print}' | sed -n '2,/END CERTIFICATE/p'
这条命令能帮你精准定位中间环节的证书数据,避免混淆。
中级证书的下载与正确配置
确认缺少中级证书后,下一步是获取并正确安装，不同CA的下载路径略有差异，但逻辑相通。
从CA官网下载完整证书包
大多数主流CA,如DigiCert、Sectigo、GlobalSign等，都在其管理控制台提供证书下载服务，登录控制台后，找到对应的域名证书，通常会有一个“Download”或“Install”选项。
注意,下载时请选择“Apache”、“Nginx”或“IIS”等对应服务器类型的包，这些包通常已经包含了中级证书，并命名为“ca_bundle.crt”或“intermediate.crt”。
手动合并证书文件
有些情况下,CA只下发域名证书和根证书，中级证书需要单独下载，你需要手动合并。
具体操作路径：
- 下载域名证书（domain.crt）。
- 下载中级证书（intermediate.crt）。
- 使用文本编辑器（如Notepad++或vim）打开域名证书文件。
- 将中级证书的内容追加到域名证书文件的末尾。
- 确保两个证书之间没有多余的空行或字符。
- 保存为新的pem文件,如fullchain.pem。
主流CA中级证书下载对比
不同CA的中级证书名称和格式略有不同,以下表格供参考：
| 证书颁发机构 | 中级证书常见文件名 | 下载位置提示 |
|---|---|---|
| DigiCert | DigiCertCA.crt, DigiCertGlobalRootCA.crt | 控制台“证书详情”页 |
| Sectigo (原Comodo) | AddTrustExternalCARoot.crt, USERTrustRSA… | 邮件附件或控制台 |
| Let’s Encrypt | chain.pem, fullchain.pem | Certbot自动获取 |
| GlobalSign | GlobalSign_Root_CA.crt, GlobalSign_Root… | 控制台“证书管理” |
配置后的验证与常见误区
安装完成后,务必进行验证，配置错误不仅导致网站不可用，还可能引发安全漏洞。
验证配置是否成功
再次使用在线SSL测试工具或OpenSSL命令进行检查,确保浏览器地址栏显示绿色锁标志，且点击锁图标后，能看到完整的信任链，包括根证书、中级证书和域名证书。
常见配置错误
- 顺序错误：中级证书必须放在域名证书之后，根证书之前（如果包含根证书），顺序颠倒会导致验证失败。
- 格式错误：确保证书文件为PEM格式，包含BEGIN和END标记，DER格式需要转换。
- 多余字符：复制粘贴时带入的换行符或空格，可能导致解析失败。
关于免费与付费中级证书的疑问
很多用户关心免费证书和付费证书在中级证书上的区别,Let’s Encrypt等免费CA也提供完整的中级证书链，且自动更新，无需手动下载，而付费证书通常提供更长的有效期和更高的信任等级，但中级证书的获取方式类似。
Q&A：中级证书相关问题解答
SSL证书对应的中级证书如何查看并下载？
查看中级证书可通过OpenSSL命令“openssl s_client -connect 域名:443 -showcerts”输出结果中识别，或登录CA控制台下载对应服务器类型的证书包，下载时选择包含“bundle”或“intermediate”字样的文件，确保其格式为PEM，并正确追加到域名证书后方。
中级证书过期了怎么办？
中级证书也有有效期,通常为1-5年，如果中级证书过期，即使域名证书有效，网站也会显示不安全，解决方法是联系CA更新中级证书，或重新下载最新的证书包并替换服务器上的配置，对于Let’s Encrypt等自动化工具，证书会自动续期，无需手动干预。
为什么我的网站在Android上正常，在iOS上报错？
iOS系统对证书链的验证较为严格,要求中级证书必须正确且完整，如果服务器只发送了域名证书，或缺少必要的中级证书，iOS设备会拒绝连接，而部分Android版本可能容忍缺失的中级证书，解决方法是确保服务器配置了完整的证书链，包括所有必要的中级证书。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/407606.html
