配置服务器SSL证书报错，九成以上是证书链不完整、域名不匹配、协议配置冲突或本地缓存干扰，按以下分步排查，多数问题能在十分钟内定位并解决。
SSL证书报错的第一道分水岭：先分清是哪一类错误
服务器SSL证书报错,表象五花八门，但根源逃不出几大类，拿到报错别急着改配置，先看浏览器报错文案和状态码，这能帮你快速划定排查范围。
常见报错类型快速识别表
| 报错提示 | 大概率原因 | 排查优先级 |
|---|---|---|
| NET::ERR_CERT_DATE_INVALID | 证书过期或服务器时间错误 | 最高 |
| NET::ERR_CERT_AUTHORITY_INVALID | 证书链未完整配置 | 最高 |
| NET::ERR_CERT_COMMON_NAME_INVALID | 域名不匹配 | 高 |
| SSL_ERROR_WRONG_VERSION_NUMBER | 端口被占用或协议版本错乱 | 中 |
| SSL: CERTIFICATE_VERIFY_FAILED | 根证书或中间证书缺失 | 高 |
浏览器只是站在访客视角给你提示,根本问题藏在你服务器上的配置文件里，接下来按概率从高到低逐一拆解。
证书链不完整：配置SSL证书错误最常见的隐形杀手
业内专家指出,将近半数的SSL证书配置失败，根源不是证书本身有问题，而是中间证书没装全，服务器只发了一张域名证书给访客浏览器，浏览器往上追溯信任链时，找不到签发这张证书的中间CA证书，只能判定为不安全。
怎么判断是不是证书链问题
打开浏览器访问你的网站,点击地址栏的小锁图标，再点”证书”查看详情，如果系统提示”证书链不完整”或”无法验证此证书”，那就是中间证书缺失，更直接的办法是用openssl命令行验证：
openssl s_client -connect 你的域名:443 -showcerts
结尾是verify return code: 0 (ok)还是类似unable to get local issuer certificate，后者就是证书链断了。
修复合集证书链的实操步骤
拿到证书文件后,多数情况下你手里有三份文件：域名证书（通常叫domain.crt或fullchain.pem）、私钥文件（.key），以及CA机构提供的中间证书（.ca-bundle或root.crt）。
- 第一步：用文本编辑器打开中间证书文件，把全部内容复制到域名证书文件的末尾，保存为一个新的整合文件。
- 第二步：确认整合后的文件里包含至少两段
-----BEGIN CERTIFICATE-----，一段是你的域名证书，另一段或多段是中间证书。 - 第三步：在Nginx配置里，确保
ssl_certificate指令指向这个整合文件，ssl_certificate_key指向私钥文件。 - 第四步：执行
nginx -t测试配置语法，报OK再重载服务。
有相当一部分用户用的是宝塔面板或类似控制面板,这时候别去手动改文件，直接在面板的SSL管理里找到”证书链补全”或”自动补全”按钮，点一下它会自动拼接，操作完以后再拿openssl命令验证，确认verify return code变成0。
域名不匹配与证书安装后不生效的排查路径
证书装好了,却提示域名不匹配，或者明明显示已生效，浏览器还是报错，这类问题通常卡在两个点上：证书绑定的域名和网站实际访问的域名对不上，或者服务器上跑着多套SSL配置互相干扰。
证书域名与实际访问域名不一致
免费证书和通配符证书比较好处理,如果你的证书只是单域名证书，那它只对www.example.com或example.com其中一个生效。不少站长就是栽在这里：申请证书时填了不带www的，本地测试访问带www的，浏览器自然报警告。
检查方法：打开证书文件，看Subject字段和Subject Alternative Name（SAN）扩展里列出了哪些域名，部分证书在申请时就能勾选同时包含两种域名写法，但需要在签发前确认。
服务器SSL证书安装后不生效怎么解决
证书文件配置正确,但访问时依然是旧证书甚至没证书，多半是这两个原因。
第一，配置文件加载顺序被劫持。 以Nginx为例，如果nginx.conf里同时引入了conf.d目录和sites-available目录，可能出现一个站点被定义了两次，后者覆盖前者，导致你改的SSL配置根本没生效，排查方法：
nginx -T | grep "ssl_certificate"
这条命令会列出nginx实际加载的所有证书路径,对照一下有没有指向旧文件的，有的话，找到定义它的server块，改掉或删掉多余配置。
第二，服务器端口被其他进程占用。 443端口被占是导致SSL握手失败的重要原因，检查命令：
lsof -i:443 netstat -tlnp | grep 443
看到占用进程如果是apache但你用的是nginx,直接停掉apache再重载nginx，如果压根没进程占用，但SSL还是报错，检查服务器防火墙或安全组规则是否放行了443端口。
HTTPS证书配置完成后的协议与加密套件调优
证书链补全、域名匹配也验证通过了，但浏览器地址栏仍然提示”不安全”或”证书无效”，这就要看加密协议和TLS版本配置是否跟上了行业共识的底线。
过时的TLS版本是配置SSL证书错误的隐性来源
一些老服务器默认开着TLS 1.0和TLS 1.1，这两个协议在2020年后已经被主流浏览器禁止，如果你的网站配置里强行指定了只支持旧协议，浏览器会用高版本协议尝试握手，服务器不认，报错就在所难免。
Nginx配置里要明确指定支持的协议版本：
ssl_protocols TLSv1.2 TLSv1.3; ssl_prefer_server_ciphers on; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
改完测试重载,这种报错立刻就能排除。
网站http访问变成https之后页面报错的兼容处理
证书配置是HTTPS访问正常了,但网站http访问变成https之后出现页面加载不全、接口报错、样式丢失，这类问题本质是页面里加载了不安全的混合内容，浏览器会拦截http://开头的图片、CSS、JS请求，导致页面渲染异常。
解决方案分两步：
- 全局替换代码中
http://为https://，或是直接用相对路径//yourdomain.com。 - 如果网站有大量历史数据不好改,可以在Nginx配置加一条规则，转发所有HTTP请求到HTTPS。
对于WordPress这类动态站,还可以通过插件强制全局HTTPS，同时修正数据库里残留的旧地址，据行业统计，相当一部分配置SSL证书后出现”页面排版错乱”的案例，最后定位都是混合内容拦截问题。
特殊场景下的SSL证书报错处理清单
除了常规站点,以下几类场景有各自的坑，单独拿出来说。
宝塔Linux面板证书配置后无法访问
用宝塔面板的用户,装完证书后如果提示SSL证书校验失败，先检查是不是开了CDN或云盾，你在宝塔里配置的证书是跟域名强绑定的，但CDN回源到服务器时用的是CDN节点的IP和内部域名，导致服务器端做域名校验时直接拒绝。
解决思路：在CDN控制台的SSL配置里，选择和源站一致的证书模式，部分CDN还支持”回源SNI”设置，需要把回源域名改成实际站点域名。
负载均衡器后面的多台服务器证书不同步
一个域名背后挂了两三台ECS,只给其中一台装了证书，另一台没装，用户访问时一半概率走到没装证书的节点，报错自然随机出现。这种场景下最常见的做法是直接在负载均衡器上挂证书，后端服务器回源走HTTP即可，但要注意后端服务记得关闭强制HTTPS跳转，避免死循环。
本地或测试环境验证通过，线上收不到
本地把证书配置得妥妥的,一上生产环境就报错，检查服务器系统时间和时区是否准确，证书有明确的生效起止时间，如果服务器时间比实际时间快了半个小时，而证书又刚签发不久，会直接判定为”证书尚未生效”。
date -R
看到时间不对,用ntpdate ntp.aliyun.com同步一下即可。
配置SSL证书错误高频问题集中答疑
问：申请的免费证书有效期只有三个月，配置SSL证书错误会不会跟有效期太短有关？
不会,免费证书在有效期内的信任链机制和付费证书完全一致，错误率没有差别，你需要做的只是设置定时提醒或启用自动续签，避免证书过期导致服务中断。
问：IIS服务器上配置SSL证书提示密码不对，怎么解决？
IIS导入.pfx格式证书时提示密码错误，一般是导出时设定的私钥密码没区分大小写，或复制时混入了空格，用certutil -importPFX命令重新导入，注意输入法切换为英文再输密码。
问：同一台服务器上配置多个域名，SSL证书错误会相互影响吗？
会,如果多个server块共用同一份证书配置，或是在默认server块里残留了旧证书，只要有一份出错，可能导致其他正常域名访问异常，建议每个域名单独配置，并在server块里明确指定server_name，基于上述排查方法，大多数配置SSL证书错误问题都能找到明确解法，按步骤逐项排除，最终都能将网站恢复到一个安全的、通过HTTPS正常访问的状态。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/796649.html
