证书链不完整导致的“不受信任”报错
当服务器在 TLS 握手过程中未提供完整的 SSL证书 链时，客户端（如浏览器或操作系统）可能无法构建从服务器证书到受信任根证书的信任路径，从而触发“此连接不受信任”或“您的连接不是私密连接”等警告。
完整的证书链通常包括：服务器证书（叶证书）、一个或多个中间 CA 证书、以及本地信任库中已预置的根 CA 证书。如果 Web 服务器配置遗漏了中间证书，尽管服务器证书本身是合法且由可信 CA 签发的，客户端仍无法完成信任链验证。例如，使用 Sectigo 或 Digicert 签发的证书时，若未正确拼接其对应的中间证书（如 SectigoRSAOrganizationValidationSecureServerCA.crt），主流浏览器（Chrome、Firefox）将拒绝信任。
该问题可通过 SSL 检查工具验证。使用 ssl证书工具 进行远程检测，能清晰展示链式结构是否缺失环节。实际部署中，Nginx 用户需将中间证书与服务器证书合并至同一个 ssl_certificate 文件中（顺序为：服务器证书在前，中间证书随后），而 Apache 和 IIS 通常通过独立指令或图形界面导入中间证书。
需要注意的情况
- 某些移动客户端或旧版 Java 环境对证书链完整性要求更严格，即使桌面浏览器正常，也可能在特定环境中报错。
- 交叉签名的存在可能导致链路选择歧义；服务器应明确配置首选链（如优先使用 DST Root CA X3 回退链以兼容 Let's Encrypt 在旧系统中的表现）。
- 使用 Lets Encrypt 免费证书时，Acme 客户端（如 Certbot）默认会自动生成包含中间证书的完整链文件，但手动部署或使用非标准客户端时易遗漏。
- 国密SM2证书体系下，若未同时提供 SM2 中间 CA 证书 与对应 RSA 中间证书（双密码体系场景），也会导致异构环境验证失败。
京公网安备11010502031690号
网站经营企业工商营业执照
