SSL 证书链不完整，是 HTTPS 连接出现证书信任错误的常见原因之一。客户端访问 HTTPS 网站时，需要验证服务器证书能否建立到受信任根 CA 的完整路径；服务器没有正确发送必要中间证书时，客户端无法完成路径验证，出现 NET::ERR_CERT_AUTHORITY_INVALID、unable to get local issuer certificate 等错误。需要明确的是，"完整证书链"不等于"服务器必须把根证书也发给客户端"：服务器负责发送服务器证书和必要的中间 CA 证书，受信任的根证书一般已存在于客户端操作系统、浏览器或应用的信任库中。本文解析证书链的结构与配置（Nginx 顺序要求、Apache fullchain 方式）、设备与 Java TrustStore 差异、TLS 1.3 机制，以及从公网终端检查证书链的排查方法。
浏览器报"证书不受信任"，最常见的原因不是证书本身坏了，而是服务器没把中间证书发全。证书链的结构、配置顺序和排查方法，是 HTTPS 部署里值得单独理清楚的一环。证书的信任路径是怎么构建的，可以参考证书的信任路径构建。
SSL/TLS 证书一般不是由根 CA 直接签发给网站的，更常见的结构是：根 CA 签发中间 CA，中间 CA 签发网站证书。这样避免根 CA 私钥直接参与大量终端证书签发，也能通过中间 CA 对不同证书业务做隔离和管理。
浏览器拿到服务器返回的证书后，按证书中的 Issuer、签名和本地信任库构建路径。路径能连到客户端信任的根 CA，验证继续；服务器没提供客户端需要的中间证书时，路径构建失败。
服务器一般不该把根证书加入发送的证书链。正确的服务器证书文件是"网站服务器证书 + 中间 CA 证书"，而不是"服务器证书 + 中间证书 + 根证书"——根证书客户端已经预置，重复发送反而可能造成混淆。
证书链问题的表现不完全相同：NET::ERR_CERT_AUTHORITY_INVALID、Verify return code 20（unable to get local issuer certificate）、21（unable to verify the first certificate）都可能出现，但不能仅凭错误代码断定服务器一定缺中间证书——也可能是客户端本地信任库缺 CA，或当前验证环境无法建立路径。
同一个网站出现"部分设备正常、部分设备报错"时，不一定是服务器配置问题：不同系统用不同根证书库，不同应用有自己的 TrustStore，部分 Java 应用用独立的 JKS/PKCS12，企业应用可能通过 Network Security Configuration 指定信任锚。服务器端应主动提供规范、完整的中间证书链，不要依赖客户端自己补全。Java 应用尤其容易暴露这类问题，TrustStore 缺 CA 或中间证书没返回时，报 PKIX path building failed，网站浏览器访问正常不代表所有 Java API 客户端正常。证书链错误的处理思路可以参考证书链错误的处理。
Nginx 官方文档要求：ssl_certificate 文件中如果包含中间证书，按"服务器证书在前、中间证书在后"的顺序排列。fullchain.pem 的内容顺序错了（中间证书在前）会导致链验证异常：
ssl_certificate /etc/nginx/ssl/example-fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/example.key;
Apache 2.4.8 起，SSLCertificateFile 支持在同一 PEM 文件中包含中间 CA 证书，过去单独指定证书链的 SSLCertificateChainFile 已标记为 deprecated，现代 Apache 优先用完整 PEM 文件。证书链文件的组织与配置可以参考证书链文件的配置。
TLS 1.3 没有取消服务器发送证书链：服务器仍通过 Certificate 消息发送证书链，客户端继续做路径验证。TLS 1.3 的 certificate_authorities 扩展与证书选择、客户端证书认证有关，不能替代服务器发送完整证书链。升级到 TLS 1.3 不会自动修复证书链缺失问题。
检查服务器实际发送的链：
openssl s_client -connect example.com:443 -servername example.com -showcerts
-servername 指定 SNI 域名，一个 IP 多个 HTTPS 站点时防止检查到默认虚拟主机的证书；-showcerts 显示实际发送的证书。重点看 Verify return code，0 (ok) 表示当前 OpenSSL 信任环境验证成功，20/21 再结合具体错误判断。
顺序判断：服务器发送的证书一般按"Leaf → Intermediate 1 → Intermediate 2"排列，第一张是访问域名对应的服务器证书，后面依次是签发它的中间证书。配合 openssl x509 -in cert.pem -noout -subject -issuer 查看每张的 Subject 和 Issuer，确认上下级关系。
本地文件正确但公网仍报错的场景很常见：fullchain.pem 已更新但 Nginx 没 reload 继续用旧证书，或源站是新证书、CDN 还是旧证书。检查证书链一定要看公网 TLS 终端实际返回了什么，而不是只看服务器磁盘文件，公网侧的核对可以用证书链完整性在线检测。
确认服务器缺中间证书后的处理：Nginx 把服务器证书和中间 CA 按顺序合并到 fullchain.pem，配置后 nginx -t 确认无误再 systemctl reload nginx；Apache 用 SSLCertificateFile 加载包含中间证书的完整 PEM；Java/Tomcat 使用 JKS、PKCS12 TrustStore 时，检查对应 CA 是否已被信任。
生产环境建议用自动化减少这类问题：证书签发 → 自动生成 fullchain → 自动部署 → reload → 公网 TLS 探测 → 检查证书链 → 异常告警。多服务器、CDN、WAF 和负载均衡环境，监控各 TLS 终端实际返回的证书、证书链、到期时间、SAN、Issuer 和 TLS 版本，避免"文件已更新但公网节点仍返回旧链"。
一般不需要。服务器通常发送网站证书和必要的中间 CA 证书，客户端通过本地信任库提供受信任的根证书。
服务器证书放在最前面，中间 CA 证书依次放在后面。Nginx 官方文档明确要求 ssl_certificate 文件采用这一顺序。
不一定。不同操作系统、浏览器和应用可能使用不同的证书路径构建和信任库，可能出现部分设备正常、部分设备报错。但服务器不应依赖客户端自动补全，应主动提供正确的中间证书链。
现代 Apache 2.4.8 及以后一般不需要。可以把服务器证书和中间 CA 证书合并到 SSLCertificateFile 指定的 PEM 文件中，SSLCertificateChainFile 已过时。
可能是 Web 服务没有 reload，或 CDN、WAF、负载均衡等其他 TLS 终端没有同步更新。用 OpenSSL 从公网检查实际返回的证书链。
SSL 证书链的完整性直接影响客户端能否建立可信的证书路径。服务器应发送服务器证书和必要的中间 CA 证书，不需要重复发送客户端已信任的根证书；Nginx 要求服务器证书在前、中间证书在后，现代 Apache 2.4 用 SSLCertificateFile 加载包含中间证书的完整 PEM 文件。TLS 1.3 没有改变发送证书链和验证路径的机制。生产环境应从公网实际 TLS 终端检查证书链，而不是只看服务器本地文件。
## SSL证书过期后网站还能正常访问吗？ SSL 证书过期后，**绝大多数现代浏览器和客户端会阻止用户访问该网站，并显示明确的安全警告**。 网站的 HTTP 服务进程可能仍在运行，但从终端用户视角看，站点已不可访问：证书过期时 TLS 握手阶段的信任链验证失败，主流浏览器（Chrome、Edge、Firefox、Safari）严格执行 X.509 有效期检查，系统时间超出证书 Not After 后连接被主动拒绝，移动端和原生应用同样遵循该机制。企业内网中未启用强校验的客户端...
查看详情## 免费SSL证书和付费SSL证书有什么区别？ **免费 SSL 证书和付费 SSL 证书在 HTTPS 加密能力上没有因为“收费”与“免费”而产生天然差异。** 只要证书由受客户端信任的 CA 正常签发，并使用安全的 TLS 协议和密码配置，免费证书同样可以保护网站的 HTTPS 通信。 两者真正的区别主要集中在： * **证书验证级别；** * **产品功能和域名覆盖能力；** * **证书生命周期与自动化方式；** * **技术支持和证书管理服务；** * **Warranty 等商业保障条...
查看详情## Nginx如何防御DDoS攻击？ **Nginx 本身不是专用的 DDoS 防护设备，无法单独抵御大规模流量型攻击，但可以通过连接数限制、请求速率限制和资源隔离，缓解部分 HTTP 层 DDoS 和应用层 Flood。** Nginx 的防护能力主要集中在**已经到达 Web 服务这一层的请求**。例如，攻击者持续向登录接口、搜索接口或 API 发送大量 HTTP 请求时，可以利用 `limit_conn` 和 `limit_req` 限制单个客户端的并发量和请求处理速率。 但如果攻击属于： * SYN...
查看详情## 国内网站都用哪几家CA的SSL证书？ **国内网站装 SSL 证书，选 CA 时大致分两条线：本土自研/合作品牌（CFCA、锐安信、vTrus）和国际主流品牌（DigiCert、Sectigo）。** 国内网站部署 HTTPS 时，选用的 CA 主要分为本土自研/合作品牌与国际主流品牌两大类： 本土与本地化品牌包括中国金融认证中心（CFCA）、锐安信（sslTrus，锐成信息推出）、vTrus（数安时代 GDCA 旗下），价值在金融级信任背书、中文服务、国密 SM2 双栈支持和信创合规； 国际品牌包括...
查看详情## SSL证书各种品牌之间有什么区别？ **不同CA签发的SSL证书，在使用相同密钥算法和TLS配置的情况下，加密强度没有本质区别。** DigiCert、Sectigo、CFCA、vTrus、锐安信等品牌真正拉开差距的地方，主要是CA信任体系、证书产品、身份审核、全球兼容性、本地化服务、国密支持以及价格。 所以，SSL证书并不是越贵越安全，也不是品牌越大越适合所有网站。普通企业官网、跨境业务、金融系统和国密项目，对证书的要求并不一样。选择品牌时，应该先看业务需要，再...
查看详情## 网站如果SSL证书过期，会有什么严重的后果吗？ 网站的 SSL/TLS 证书过期后，**最直接的后果是 HTTPS 连接无法通过正常的证书有效期校验，浏览器和其他客户端会出现证书安全警告，部分应用程序则会直接拒绝建立连接。** 对于普通网站，用户可能看到“您的连接不是私密连接”等安全提示；对于 API、App、支付系统、CDN 回源等业务，证书过期可能直接导致接口请求失败。 所以，SSL证书过期并不只是地址栏出现一个警告这么简单。**如果证书用于核心业...
查看详情## 国密SSL证书怎么配置？ 国密SSL证书配置与普通SSL证书最大的区别，是它采用我国商用密码算法体系，包括： * SM2：非对称密码算法，用于身份认证和数字签名； * SM3：密码哈希算法，用于数据完整性校验； * SM4：对称加密算法，用于HTTPS通信加密。 由于[国密SSL证书](https://www.topssl.cn/ssl/sm2)采用不同于RSA/ECC的密码体系，因此不能直接按照普通SSL证书的方式部署。 完整配置流程通常包括： * 申请国密SSL证书； * 获取SM2证书文件和私钥；...
查看详情## 东方通怎么生成P10证书请求？TongWeb SSL证书CSR制作方法 在东方通 TongWeb 等中间件上部署 SSL/TLS 证书时，CA 一般不会直接根据一个域名就签发证书，而是需要先提交 **CSR（Certificate Signing Request，证书签名请求）**。 很多证书申请平台把 CSR 文件称为 **P10 请求**，这里的 P10 指的是 **PKCS#10** 标准。P10 文件中包含申请者的主体信息、公钥以及申请者对这些内容的签名，但**不包含私钥**。 对于东方通环境，P10 的生成方...
查看详情> 本文立足于公钥基础设施（PKI）与域名控制权验证（DCV）标准，系统梳理域名验证型（DV）、组织验证型（OV）与扩展验证型（EV）SSL/TLS 证书的区别。全文围绕自动化域名校验与企业实体资质审查的技术边界展开，说明三类证书在 TLS 握手套件加密算法能力上的一致性，并结合现代浏览器策略，为不同安全诉求的 Web 系统提供务实的选型建议。 ## SSL证书中的DV、OV、EV有什么区别？企业应该如何选择？ 很多企业第一次购买 SSL 证书时，都会看到 DV、OV、EV 这...
查看详情## DV单域名SSL证书一年多少钱？ [DV单域名SSL证书价格](https://www.topssl.cn/ssl)通常从免费到数百元不等，收费DV证书市场价格一般在50元～300元/年之间，具体价格取决于证书品牌、CA机构、服务支持以及购买渠道。 目前常见价格范围： | 类型 | 价格范围 | 适用场景 | | ------------------ | ------------- | ------------------------------------ | | 免费DV SSL证书 | 0元 | 个人网站、测试环境、临时项目 | | 国产基础DV SSL证书 | 5...
查看详情## SSL证书怎么上传到服务器？上传后还需要配置吗？ SSL证书上传到服务器后，**还不能直接算安装完成**。 上传只是把证书文件放到服务器上，真正让 HTTPS 生效，还需要把证书、私钥以及中间证书链配置到对应的 Web 服务器或应用服务器中，然后重新加载服务。 简单来说，完整的部署过程可以理解为： **获取证书 → 上传证书文件 → 配置服务器 → 重载服务 → 检查 HTTPS 是否正常。** 不同服务器的配置方式有所区别。Nginx、Apache一般直接引用证书...
查看详情## 多台服务器可以共用同一个PFX证书吗？ 多台服务器可以使用同一个 PFX 文件，**前提是这些服务器属于同一个业务服务，并且都需要使用同一个域名提供 HTTPS 服务**。 PFX（PKCS#12）文件通常可以同时封装服务器证书、私钥以及证书链，因此在 IIS、Tomcat、负载均衡设备等环境中比较常见。 例如，一个网站www.example.com 后面部署了 3 台 Web 服务器： ```text 负载均衡 │ ┌─────────┼─────────┐ │ │ │ Server A Server B Server C ``` 如果...
查看详情## SSL证书怎么安装到服务器？ SSL证书安装到服务器，核心就是把**证书文件、证书链和私钥**配置到实际提供 HTTPS 服务的 Web 服务器中，然后让服务器监听 443 端口并加载新的 TLS 配置。 具体怎么安装，取决于服务器使用的程序。Nginx 一般直接配置 `.pem`、`.crt` 和 `.key` 文件；Apache 需要配置证书和私钥路径；Tomcat 则一般使用 JKS 或 PKCS#12（PFX）密钥库。安装完成后，还需要检查证书链、域名匹配和 443 端口，确认 HTTPS 已经正常工作。...
查看详情## 指定的证书有与之关联的私钥，但无法访问该私钥怎么办？ IIS 绑定 HTTPS 时弹出"指定的证书有与之关联的私钥，但无法访问该私钥"，第一反应别去重装证书——问题一般不在证书，而在权限。证书和私钥的对应机制，先理解[公钥私钥在 TLS 里的分工](https://www.topssl.cn/what-is-ssl-certificate)。 **"指定的证书有与之关联的私钥，但无法访问该私钥"一般不是证书本身无效，而是系统已经找到与证书匹配的私钥，但运行 SSL/TLS 服务的账户没有...
查看详情## 怎么查询SSL证书有效期？ **查询 SSL 证书有效期，最直接的方法有三种：浏览器查看证书详情、用 OpenSSL 检查服务器实际返回的证书、通过在线检测工具查看公网证书状态。** 场景选择上有明确分工：只检查一个网站，浏览器就够用；在服务器上排查证书问题，用 OpenSSL； 检查多个域名或长期监控，用检测工具或脚本。核心字段是 notAfter——X.509 证书的失效时间，判断证书什么时候过期主要看它；notBefore 记录生效时间。 需要注意，查看网站证书时...
查看详情## IIS服务器怎么安装SSL证书？ **IIS 安装 SSL 证书主要有两种方式：一种是在 IIS 中生成 CSR，证书签发后再完成证书请求；另一种是直接导入包含私钥的 PFX 证书。** 证书导入后，在网站绑定中配置 HTTPS、443 端口和对应域名；多站点共用同一 IP 和 443 端口时，按 IIS 版本配置 SNI——IIS 8.0 及以上原生支持 SNI，勾选"需要服务器名称指示"即可按主机名区分证书；IIS 7.0/7.5 不支持 GUI 中的 SNI，多 HTTPS 站点一般需要独立 IP 或通配符/...
查看详情## Nginx服务器怎么安装SSL证书？ **Nginx服务器安装SSL证书主要分为四步：准备证书文件、配置443端口、检查Nginx配置并重载服务，最后配置80端口301跳转HTTPS。** Nginx配置HTTPS的核心在于使用匹配的私钥文件，以及包含服务器证书和必要中间CA证书的证书链文件。通过配置 `ssl_certificate` 和 `ssl_certificate_key` 指令监听 443 端口，可以确保客户端建立安全的 TLS 连接。 --- ## Nginx安装SSL证书的完整流程 在 Linux 服务器中，为...
查看详情## 服务器安装SSL证书影响速度和流量吗？ 服务器部署 SSL 证书对速度和流量的影响，集中在 TLS 握手延迟、加密解密计算和协议头开销三方面。 对支持硬件加密加速的现代服务器和长连接业务，HTTPS 带来的计算与网络开销一般较小，不会导致明显的服务器卡顿或带宽暴涨；在高延迟网络下，配合 HTTP/2 或 HTTP/3 的多路复用，页面综合加载体验可能优于传统 HTTP。 影响的具体量化：TCP 三次握手 1 个 RTT 后，TLS 1.2 首次握手额外约 2 个 RTT，TLS ...
查看详情## SSL证书为什么要选付费的？ 不是所有网站都需要付费 SSL 证书。对个人博客、测试环境和能稳定自动续期的普通网站，免费 DV 证书已满足 HTTPS 加密需求。 "是不是企业就得买付费证书"是选型时最常问的问题。答案取决于业务要什么：只要加密，免费 DV 够用；要企业身份、复杂域名、集中管理和人工支持，付费才有价值。免费证书的获取与限制，先看[免费证书的获取与限制](https://www.topssl.cn/free-ssl)。 企业选付费证书，主要不是加密算法更强—...
查看详情
TopSSL是一站式SSL证书服务平台，提供免费SSL证书申请、商业SSL证书服务及HTTPS安全解决方案，支持DV、OV、EV、通配符和国密SSL证书服务。2004-2026 © 北京传诚信 版权所有 | 北京市朝阳区鹏景阁大厦16层
京公网安备11010502031690号
网站经营企业工商营业执照
