未受信任的域名无法正常加载，本质上是浏览器或操作系统在TLS握手阶段发现证书链无法追溯到本地信任的根证书，直接把连接拦在门外。
未受信任的域名无法加载怎么解决？先看证书链断在哪一环
很多人遇到浏览器地址栏弹出红色警告,第一反应是点“继续访问”，这其实跳过了一次关键判断，未受信任的域名打不开，不是网络断了，而是浏览器认为服务器递过来的“身份证明”有问题，解决前必须先分清：这台服务器是你自己的，还是公共网站。
- 自己的内部系统、测试环境、公司OA，可以通过导入根证书解决。
- 公共网站出现这个提示,多数情况下不要强行绕过，可能是证书过期或网络劫持。
浏览器像门卫,手里有一本系统信任库名单，服务器发来的证书必须能追溯到名单上的某个根证书，才会放行，如果中间证书缺失、根证书不在名单里、证书绑定的域名不对，门卫就拒绝握手。
未受信任的域名和受信任的域名区别：信任锚决定拦截与否
这个对比能快速帮你理解问题本质。
| 对比项 | 受信任域名 | 未受信任域名 |
|---|---|---|
| 证书链终点 | 系统信任库中的根证书 | 私有根证书或未知根证书 |
| 证书签发机构 | 公共CA，如DigiCert、Let’s Encrypt | 自签名或企业内部CA |
| 浏览器行为 | 正常加载，显示锁形图标 | 显示证书错误，默认拦截 |
| 部署位置 | 公网正式服务 | 内网系统、测试站点、未配置TLS的IP |
| 风险等级 | 低 | 可能被中间人攻击 |
一个域名是否受信任,不取决于域名本身，而取决于它用的证书，同一个业务域名，如果换了自签名证书，就会从受信任变成未受信任，根证书是否预置在操作系统和浏览器里，是唯一的判断核心。
企业网络未受信任的域名访问不了的典型场景
企业内网系统的开发和运维人员对这类问题最熟悉,公司内部OA、CRM、代码仓库、监控面板，很多都用自签名证书或企业私有CA签发证书，员工电脑没有导入公司根证书，访问时就会看到“未受信任的域名”提示。
常见场景包括：
- 公司内部DNS把oa.company.local解析到内网服务器，证书是企业CA签发，但员工浏览器信任库没有该CA。
- 企业部署了SSL解密设备,对出站流量做中间人解密，设备用自己的证书替代原站点证书，客户端不信任该设备根证书，导致所有HTTPS网站都报错。
- 开发人员用openssl生成自签名证书部署到测试服务器,只在自己电脑导入了证书，同事电脑访问同样报错。
这种情况下,解决办法不是关闭浏览器安全设置，而是把企业根证书推送到所有终端，Windows域环境可以通过组策略自动分发，非域环境要手动导入。
浏览器提示未受信任的域名怎么办？从三个细节判断风险
点击浏览器地址栏的“不安全”或“证书无效”，可以看到具体错误码，Chrome常见的是NET::ERR_CERT_AUTHORITY_INVALID，Firefox是SEC_ERROR_UNKNOWN_ISSUER，不同错误码对应不同原因。
先看证书详情里的使用者与有效期
打开证书查看器,确认“颁发给”字段是否和你访问的域名完全一致，访问www.example.com，证书绑定的却是example.com，许多浏览器也会认为不安全，SAN（主题备用名称）里必须包含完整域名。
有效期也要看,证书过期一天，浏览器照样拦截，系统时间不准也会误判过期，部分老旧设备时间错误，会导致大量正常网站提示证书无效。
再看颁发者是否在系统信任库
如果颁发者是公共CA,比如DigiCert、GlobalSign，但浏览器仍然不信任，说明中间证书可能没安装完整，服务器只发送了叶子证书，没有发送中间CA证书，客户端无法构建完整证书链，检查方法用openssl命令：
openssl s_client -connect 目标域名:443 -showcerts输出中如果只显示一个证书,基本可以确定中间证书缺失，补齐服务器端的证书链文件即可。
最后确认网络是否被劫持
在咖啡店、酒店
等公共WiFi环境访问正规网站，如果出现未受信任提示，要高度怀疑网络节点在做SSL剥离或证书替换，断开WiFi用手机流量访问同一网址，如果正常，说明当前网络存在问题，这种情况下不要点击继续访问，也不要导入任何临时证书。
证书链排查实操：让未受信任的域名恢复加载
针对自己可控制的服务器,以下步骤可以解决绝大多数证书链问题。
服务器端补齐中间证书
以Nginx为例,证书文件应包含域名证书和中间证书的合并内容：
cat 域名证书.crt 中间证书.crt > 合并证书.crt配置中指向合并后的文件,然后重新加载Nginx，Apache和IIS也有类似操作，完成后用SSL Labs的公开检测工具验证证书链是否完整，行业共识认为，证书链不完整是未受信任提示最常见的技术原因之一。
客户端手动导入根证书的操作路径
内网自签名证书需要客户端信任。
- Windows：运行
certmgr.msc，展开“受信任的根证书颁发机构” -> “证书”，右键“所有任务” -> “导入”，选择根证书文件。 - macOS：双击证书文件，打开“钥匙串访问”，选择“系统”，输入密码后导入，然后双击该证书设为“始终信任”。
- Linux：将根证书文件复制到
/usr/local/share/ca-certificates/目录，执行sudo update-ca-certificates。
导入后需要完全重启浏览器,部分浏览器会使用操作系统的信任库，有些则有自己的独立信任库，如火狐需要单独导入。
未受信任的域名SSL证书价格与选择：免费和付费的信任差异
如果不想每次给别人导入证书,公共网站仍建议使用公共CA签发的证书，Let’s Encrypt提供免费的DV证书，能解决基本信任问题，但有效期较短，需要自动化续期，付费DV证书价格不高，多数入门级产品每年的费用也就在一个可接受范围内，能省去频繁续期的麻烦，OV和EV证书价格更高，需要企业资质验证，但在浏览器里显示的信息更完整，适合对品牌信任有要求的场景。
国内用户访问某些境外未受信任域名时,如果证书链依赖的中间节点在跨境网络中传输不稳定，也可能间歇性出现证书错误，这种情况更换DNS解析服务器或使用更稳定的网络链路，有时能恢复正常加载。
为什么浏览器不让你绕过未受信任的域名？
现代浏览器对证书错误的拦截越来越严格,不再是简单的“是否继续”对话框，这是安全策略演进的直接结果。
HSTS与证书透明机制的影响
启用了HSTS的域名,浏览器会强制使用HTTPS，且无法点击跳过证书错误，Chrome、Firefox对部分知名域名内置了HSTS预加载列表，这些域名一旦证书异常，用户没有任何绕过入口，证书透明机制要求公共CA签发的证书公开记录在CT日志中，浏览器会检查该日志，未记录在案的证书即使链完整，也可能被判定为不可信。
拦截不是故障，是保护
未受信任的域名无法加载,多数情况下不是网站“坏了”，而是浏览器在主动阻断可能存在的中间人攻击，攻击者可以伪造一个与你访问目标域名完全相同的证书，如果浏览器不拦截，你的账号密码、支付信息就等于直接交给了攻击者。
理解这一点,就不会再轻易点击“继续访问不安全网站”。
未受信任的域名常见问题解答
未受信任的域名能手动添加信任吗？
可以,但要分对象，自己控制的内网系统、开发测试服务器，可以手动导入根证书建立信任，公共网站上出现这个提示，不建议手动添加信任，因为你无法确认证书是被攻击者替换还是单纯配置错误。
未受信任的域名无法加载一定是证书问题吗？
不一定,系统时间错误、网络劫持、防火墙SSL解密、DNS被投毒、浏览器扩展干扰，都可能让正常证书变成未受信任状态，排查顺序一般是：先看系统时间，再看证书详情，接着换网络环境测试，最后用openssl命令检查服务器证书链。
电脑时间不对会导致未受信任的域名无法加载吗？
会,系统时间如果被调到证书有效期之外，浏览器会认为证书已经过期或还未生效，从而拒绝加载，即使证书本身完全正常，只要客户端时间错误，HTTPS握手过程就会因有效期校验失败而中断。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/645445.html
