IIS域名绑定HTTPS证书配置不生效，绝大多数情况下是绑定了域名但与访问地址不一致、证书链不完整或IIS服务未重启这三个原因叠加导致，按顺序逐项排查即可解决。
很多朋友在用IIS部署SSL证书时都遇到过这个情况：证书明明装进去了，绑定也做了，但浏览器就是提示不安全，或者直接无法访问，这问题看起来玄乎，实际拆开看其实就几个固定环节，今天替你把所有常见坑都数一遍，照着一步一步排查就能解决。
IIS配置HTTPS证书不生效怎么办先分清问题出在哪一个环节
配置HTTPS证书不生效,先别急着怀疑证书本身有问题，行业共识认为，IIS部署SSL证书的整体流程就三步：导入证书、绑定站点、重启IIS，绝大多数情况下问题就出在这三个环节的衔接处，先问自己三个问题，能迅速缩小排查范围：
- 证书是否成功导入了“个人”证书存储区？
- 站点绑定中,主机名是否填写了完整的域名（www.example.com）？
- IIS服务是否真正完成了重启（不是回收应用程序池，而是整个IIS服务重启）？
如果这三个问题你都回答不上来,那不用想别的，直接从头开始核对一遍，这三件事里任何一件没做到位，证书配置就不会生效。
证书绑定环节最容易踩的坑：端口、域名、IP三件套必须配对
证书导入之后,重点就是“绑定”这个动作，很多人在这一步打开“网站绑定”窗口就懵了，不知道该填什么，一个标准的HTTPS绑定必须是：类型选https、端口填443、主机名填完整域名、SSL证书选对应的那张，这四项里任何一项没对上，浏览器都会认为证书配置没生效。
443端口被其他站点占用导致证书绑不上
如果你服务器上有多个站点都在用IIS,且其中已有站点绑定了443端口，那么新建绑定的时候如果不分配独立IP地址，IIS会直接提示端口冲突，或者静默地把证书绑到了另一个站点上，这就是为什么很多用户遇到IIS域名绑定SSL证书后无法访问请求其实被别的站点截胡了。
此时有两种处理方式：
- 给新站点分配独立的IP地址,绑定中“IP地址”下拉框选择对应IP而不选“全部未分配”。
- 如果只有一个公网IP,多站点必须共享443端口时，务必确保每个站点绑定中主机名都填了不同的完整域名，IIS会根据Host头将请求转发给对应的站点，主机名留空就容易发生冲突。
证书类型选错导致IIS不认
IIS8.5及以上版本支持通配符证书和SAN证书（多域名证书），但有些老旧版本对ECC证书支持不理想，如果你申请的证书是ECC格式而服务器操作系统较老，证书导入后虽然显示正常，但绑定下拉框里可能根本看不到这张证书，这属于多数情况下不常见但确实存在的坑，遇到类似情况就换RSA证书重新部署测试。
IIS多个域名绑定证书配置方法中存在两个隐蔽陷阱
如果你一台服务器上绑了多个域名,每个域名都要上HTTPS，情况会稍微复杂一点，有人会遇到这个现象：域名A的HTTPS完全正常，域名B的证书配置不生效或者域名B访问时跳到了A的站点，这个就是典型的Host头或证书选择问题。
浏览器强制HSTS导致域名跳转混乱
如果你的域名B之前曾经开启过HSTS（HTTP严格传输安全协议），浏览器会强制使用HTTPS访问，而且这个状态会被浏览器“，即使服务器配置已经修改，浏览器仍然按照旧规则强制跳转，此时你看到的现象就是IIS域名绑定SSL证书后无法访问，但其实服务器配置本身已经没错了。
排查方法：用浏览器的无痕模式访问域名B，如果无痕模式下可以正常打开HTTPS页面，说明就是浏览器缓存了HSTS策略，可以打开chrome://net-internals/#hsts，在“Query HSTS/PKP domain”里输入域名B查询，确认已启用HSTS后，停留在“Delete domain security policies”里输入域名B删除策略，在这个问题解决之前，其他配置都白谈。
证书私钥对应的域名与绑定域名不一致
证书文件本身包含两个关键元素：公钥和私钥，很多管理员在导入证书时操作有误，只导入了公钥而私钥没有正确配对，或者使用盗版工具转换证书格式导致私钥信息丢失，这种情况最常见的报错是“IIS部署SSL证书验证失败”，界面提示证书链完整，但绑定后访问就是提示证书无效。
解决办法很简单：重新申请或重新签发证书，不要试图用工具“修复”私钥不匹配的证书，正规证书颁发机构签发的证书，在下载时会在同一个压缩包内提供包含私钥的PFX/P12格式文件，或者提供私钥文件让你自行导入IIS时配对，注意导入向导中有一个“允许将此私钥导出”选项，建议勾选，方便以后迁移服务器时重新导出。
证书链配置错误导致部署后依然报错的根源与解法
证书链是很多人的知识盲区,证书链就是你的服务器证书和根证书之间的“中介证书”链条，根证书本身不需要安装在IIS上，但中间证书必须安装，中间证书如果没有正确安装，浏览器会判定证书链不完整，即使你域名和端口都对，访问时依然会出现不安全提示或不受信任警告。
识别证书链是否完整的两种方法
- 在服务器上打开“运行”输入certmgr.msc进入证书管理器，展开“受信任的根证书颁发机构”和“中间证书颁发机构”，确认你的证书签发机构对应的根证书和中间证书都在对应目录中。
- 用openssl命令行验证证书链,执行openssl s_client -connect 你的域名:443，看到返回结果中是否有“Verify return code: 0 (ok)”，出现这行就说明证书链正常。
大多数情况下,证书链配置不完整的原因是你只安装了两段证书中的一段，比如只装了服务器证书，但没有下载并安装中间证书，建议从证书颁发机构官网重新下载“完整证书包”（一般叫做fullchain或bundle），而不是只下服务器证书。
IIS服务器时间与证书生效时间不同步
这一条容易被忽视,但确实有不少朋友栽在这上面，证书有效期是一个绝对时间范围，如果服务器系统时间（尤其是年份）与证书生效时间区间不匹配，IIS部署SSL证书验证失败也会发生，检查一下服务器的时间同步设置，确保启用了NTP时间同步，Windows Server自带的W32Time服务可以自动同步时间，确保该服务处于运行状态即可。
验证IIS证书配置是否真正生效的实操方法
配置做完后,需要明确验证IIS证书配置是否真正生效，不要直接打开浏览器就下结论，用下面这几种方法交叉验证：
- 在IIS管理器里“SSL设置”面板，勾选“需要SSL”，客户端证书选择“忽略”，然后点击右上角的“应用”。
- 在IIS管理器底部状态栏确认服务已重启,如果没重启，运行iisreset命令强制重启IIS服务。
- 用浏览器无痕窗口输入https://你的域名（注意带https前缀），观察地址栏是否有锁形图标，点击锁形图标能看到证书的有效期和域名信息。
- 用第三方在线工具检测（比如某些证书体检站点，这里不指名），输入域名即可查看证书链是否完整、是否被浏览器信任。
上述验证全部通过,IIS域名绑定https证书配置不生效的问题就真正解决了，如果第3步虽然能打开，但地址栏还是提示“不安全”，那就优先检查证书链，不要纠结IIS本身的配置。
Q&A快速排查模块
IIS配置HTTPS证书不生效怎么办的最快排查顺序是什么？
最快的顺序是：先在浏览器里用无痕模式确认是否缓存了HSTS策略；然后确认站点绑定中“主机名”和你输入的网址域名完全一致（包括www前缀）；接着检查证书是否包含完整证书链；最后在命令行中执行iisreset重启IIS服务并刷新页面，按此顺序排查，五分钟之内能定位到问题。
IIS多个域名绑定证书配置方法中会出现证书串台吗？
会,如果多个站点绑定在同一个IP且都是443端口，同时某个站点的主机名设置错误或留空，IIS会按照站点绑定的优先级把请求转发到第一个匹配的站点，表现就是访问域名B时跳出域名A的证书和页面，解决办法是将每个站点的HTTPS绑定主机名依次删掉重新添加，确保每个域名都有自己对应的主机名，且证书选择各自域名对应的那张证书。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/627148.html
