先别急着重装App：多数“app服务器证书不可用”不是手机坏了，而是服务端证书链不完整、域名不匹配、证书过期或App内置证书固定没有同步更新；按“时间域名证书链TLS证书固定”顺序查，通常能快速定位。
用户看到“证书不可用”时，最容易做两件错事：一是让全体用户升级App，二是直接换一张新证书，前者可能扩大影响面，后者常常没解决根因，证书问题有明确的排查路径，先拿到错误码和握手结果，再决定改服务端还是改客户端。
APP服务器证书不可用怎么办：先判断报错发生在哪一层
客户端错误码先对照
不同平台报错不一样,先把错误码记下来。
| 平台 | 常见报错 | 常见含义 | 优先排查 |
|---|---|---|---|
| iOS | -1202 | 证书不受信任 | 证书链、根证书、证书固定 |
| iOS | -1201 | 证书日期无效 | 手机时间、证书有效期 |
| Android | SSLHandshakeException | 握手失败 | 中间证书缺失、TLS版本 |
| Android | Trust anchor not found | 找不到可信根 | 证书链不完整、旧设备根证书 |
| Android | SSLPeerUnverifiedException | 主机名或固定校验失败 | SAN、域名、CertificatePinner |
浏览器能打开,不代表App能打开，业内专家指出，App端往往比浏览器多一层证书固定和信任配置，换证后旧版本App更容易先报错。
先抓一次握手结果
在电脑上执行：
openssl s_client -connect api.example.com:443 -servername api.example.com -showcerts curl -vI https://api.example.com
重点看三件事：返回了几张证书、证书主题和SAN是否包含请求域名、握手用的TLS版本，输出里只有一张站点证书，通常说明中间证书没下发。
按五步排查：APP服务器证书不可用怎么办
第一步 校准手机和服务器时间
证书有效期依赖系统时间,手机时间错到未来或过去，会直接报日期无效。
- 手机开启“自动设置时间”。
- 服务器执行
timedatectl status看NTP同步状态。 - 执行
openssl x509 -in server.crt -noout -dates看证书起止时间。 - 证书快到期时,先续期再排查其他项。
第二步 核对域名与SAN
App请求的域名必须出现在证书SAN里,只看Common Name不够。
openssl x509 -in cert.pem -noout -text | grep -A1 "Subject Alternative Name"
- 通配符证书只覆盖一级域名,
.example.com不覆盖api.test.example.com。 - 用IP直连的接口,证书要带IP SAN。
- CDN回源、网关转发时，客户端看到的是入口域名，证书也要匹配入口域名。
第三步 补全证书链
据CA/Browser Forum公开基线要求，服务器应下发完整证书链并确保证书域名匹配，行业共识认为，证书链不完整是服务端HTTPS握手失败最常见的原因之一。
Nginx常见配置：
ssl_certificate /path/fullchain.pem; ssl_certificate_key /path/privkey.pem;
Apache常见配置：
SSLCertificateFile /path/fullchain.pem SSLCertificateKeyFile /path/privkey.pem
旧版Apache还要配 SSLCertificateChainFile，改完执行：
nginx -t && systemctl reload nginx openssl s_client -connect api.example.com:443 -servername api.example.com -showcerts
输出里应能看到站点证书和中间证书,只看到一张，继续补链。
第四步 检查TLS版本与加密套件
iOS ATS和主流安卓版本都要求较新的TLS，服务端不要只开旧协议。
openssl s_client -connect api.example.com:443 -servername api.example.com -tls1_2
Nginx可配置：
ssl_protocols TLSv1.2 TLSv1.3;
旧Android设备兼容性和安全合规要平衡,多数情况下，保留TLS 1.2及以上即可覆盖主流设备。
第五步 处理证书固定与信任配置
App如果做了证书固定,换证书后必须同步更新客户端配置，否则服务端证书再正确也会被拒绝。
- Android检查
network_security_config.xml、OkHttpCertificatePinner。 - iOS检查
Info.plist的ATS配置、AFNetworkingAFSecurityPolicy。 - 不要为了省事全局信任所有证书,这会让中间人攻击风险上升。
- 换证过渡期可保留旧证书并行,给旧版本App留升级窗口。
苹果App服务器证书不可用怎么解决
iOS对证书校验更严格,先看ATS诊断，macOS上可执行：
nscurl --ats-diagnostics https://api.example.com
重点检查：
- 证书是否由受信任CA签发,链是否完整。
- 是否满足ATS对TLS版本和加密强度的要求。
Info.plist是否配置了不必要的例外域名。- TestFlight和生产环境是否使用了不同域名或不同证书。
- 自签名证书是否只用于内测,正式分发不要依赖手动信任。
如果服务端刚换证,iOS旧版本App又做了公钥固定，优先安排客户端更新或服务端双证书过渡。
安卓与iOS对比：App服务器证书不可用差异在哪
| 对比项 | iOS | Android |
|---|---|---|
| 根证书更新 | 随系统更新较集中 | 设备碎片化，旧机型根证书可能缺失 |
| 传输安全要求 | ATS限制较明确 | 依赖系统版本和网络库 |
| 用户证书信任 | 需手动信任描述文件 | Android 7起用户证书默认不用于App |
| 证书固定 | 常见于ATS和业务封装 | 常见于OkHttp、TrustManager |
| 排查入口 | 错误码、nscurl | logcat、SSLHandshakeException |
Android可执行：
adb logcat | grep -i -E "SSL|Certificate"
看到 Trust anchor not found，先查中间证书和旧设备根证书；看到主机名不匹配，查SAN和请求域名。
免费SSL证书能解决App服务器证书不可用吗
能解决一部分,但不是万能药。
- 证书过期、根证书不受信任，用免费DV证书可以恢复。
- 域名不匹配、证书链缺失、TLS版本过低，换免费证书也白搭。
- App做了证书固定,换任何证书都要同步改客户端。
- 网络劫持、代理抓包、企业WiFi拦截，属于链路问题，不是证书本身问题。
免费证书如Let’s Encrypt、ZeroSSL适合测试环境和普通API，有效期通常为90天，必须自动续期，可执行：
certbot renew --dry-run systemctl reload nginx
付费OV/EV证书主要增加身份审核，不自动修复技术配置，预算从每年较低到较高都有，选型时先看兼容性，不要只看价格。
上海App服务器证书不可用怎么处理
如果上海地区用户集中反馈,先怀疑CDN节点和回源链路。
- 执行
dig api.example.com看解析到哪个CDN节点。 - 用
curl --resolve api.example.com:443:节点IP https://api.example.com对比节点证书。 - 检查CDN是否只配置了站点证书,回源证书链是否完整。
- 上海机房迁移、负载均衡换节点后，证书和SNI配置要同步。
- 让云厂商提供节点证书链检测结果,比自己反复重装App更快。
证书更新后的发布检查表
- 证书有效期、SAN、签发链三项都验证。
- Nginx/Apache加载的是fullchain，不是单独站点证书。
- TLS保留2及以上，旧协议按合规要求关闭。
- App证书固定配置随证书更新同步发版。
- 免费证书自动续期任务可执行
certbot renew --dry-run。 - 发布后分别用iOS真机、Android真机、弱网环境各测一次。
证书问题看起来吓人，实际排查路径很固定：先看错误码，再查时间、域名、链、TLS和固定。 把这几项做成发布前检查表，比故障后临时换证更省事。
Q&A：APP服务器证书不可用怎么办
为什么浏览器正常，App却提示证书不可用？
浏览器和App的信任策略不同,App可能内置证书固定、独立TrustManager或ATS限制，浏览器能过不代表App能过，先抓App错误码，再对照服务端证书链和客户端固定配置。
证书更新后旧版本App还能用吗？
取决于旧版本是否做了证书固定,做了固定的旧App，换证后可能直接拒绝连接，常见做法是服务端保留旧证书过渡一段时间，同时推动客户端升级。
自签名证书能用于正式上架App吗？
自签名证书在iOS正式分发和主流安卓应用商店审核中通常不被接受,需使用受信任CA签发证书并完整下发中间证书。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/786467.html
