当服务器在 TLS 握手过程中未提供完整的 SSL证书 链时,客户端(如浏览器或操作系统)可能无法构建从服务器证书到受信任根证书的信任路径,从而触发“此连接不受信任”或“您的连接不是私密连接”等警告。
完整的证书链通常包括:服务器证书(叶证书)、一个或多个中间 CA 证书、以及本地信任库中已预置的根 CA 证书。如果 Web 服务器配置遗漏了中间证书,尽管服务器证书本身是合法且由可信 CA 签发的,客户端仍无法完成信任链验证。例如,使用 Sectigo 或 Digicert 签发的证书时,若未正确拼接其对应的中间证书(如 SectigoRSAOrganizationValidationSecureServerCA.crt),主流浏览器(Chrome、Firefox)将拒绝信任。
该问题可通过 SSL 检查工具验证。使用 ssl证书工具 进行远程检测,能清晰展示链式结构是否缺失环节。实际部署中,Nginx 用户需将中间证书与服务器证书合并至同一个 ssl_certificate 文件中(顺序为:服务器证书在前,中间证书随后),而 Apache 和 IIS 通常通过独立指令或图形界面导入中间证书。
加密您的网站,赢得客户信任!