无法确认该网页的安全性怎么办？

无法确认该网页的安全性怎么办？

当浏览器显示“无法确认该网页的安全性”（如 Chrome 的 NET::ERR_CERT_AUTHORITY_INVALID、Firefox 的 SEC_ERROR_UNKNOWN_ISSUER），本质是 TLS 握手过程中证书链验证失败。核心原因不是网站“不安全”，而是客户端无法建立从站点证书到受信任根证书的完整、可信路径。常见于自签名证书、私有 CA 未被系统预置、中间证书缺失、证书吊销状态不可达，或根证书已过期/被移除（如 2021 年 DST Root CA X3 过期事件）。

该问题属于 PKI 信任链工程失效，需按证书验证流程逐层定位：证书本身有效性 → 签发者是否可信 → 中间证书是否完整传输 → CRL/OCSP 响应是否可达且未拒绝。

SSL/TLS 协议要求客户端必须执行完整证书路径验证（RFC 5280 §6），任何一环断裂都会触发此提示。

证书链验证失败的四大主因与验证方法

1. 根证书未被操作系统或浏览器信任

主流系统（Windows/macOS/iOS/Android）和浏览器（Chrome、Edge、Firefox）各自维护独立的根证书库。例如 Android 12+ 移除了部分长期未更新的根证书；Firefox 自 2023 年起默认禁用 Symantec 历史根证书。若站点使用已下线根签发，即使证书未过期，也会被拒绝。验证方式：在浏览器地址栏点击锁形图标 → 查看证书 → 检查“颁发者”是否出现在系统信任根列表中（Windows 可运行 certmgr.msc 查看“受信任的根证书颁发机构”）。

2. 中间证书未正确部署

绝大多数公开 CA 不直接用根证书签发终端证书，而是通过中间证书（Intermediate CA）签发。Web 服务器必须在 TLS 握手中发送完整的证书链（终端证书 + 所有中间证书），但不包括根证书。若 Nginx/Apache 未配置 ssl_certificate_chain 或未将中间证书追加至证书文件末尾，客户端将无法构建信任链。可使用 ssl证书工具 输入域名进行链完整性检测，输出“Chain issues: Missing intermediate”即为此类问题。

3. 证书已被吊销且 OCSP/CRL 响应可访问

若证书被 CA 主动吊销（如私钥泄露），而客户端能成功连接 OCSP 响应器并收到 “revoked” 状态，或下载 CRL 后匹配到序列号，也将拒绝连接。此时需检查证书序列号是否出现在 CA 公布的吊销列表中（如 Let's Encrypt 的 CRL 分发点），并确认防火墙未拦截 OCSP 请求端口（通常为 80/443）。

4. 时间偏差或证书有效期不匹配

客户端系统时间误差超过 5 分钟（RFC 5280 要求），或证书尚未生效（Not Before）、已过期（Not After），均导致验证失败。可通过 date（Linux/macOS）或 w32tm /query /status（Windows）校验本地时间，并与 time.windows.com 或 pool.ntp.org 同步。

维度	参考标准	工程师建议
证书链完整性	CA/B Forum BR §7.1.3.2	确保服务器返回终端证书 + 全部中间证书；禁用“仅返回终端证书”配置
根证书兼容性	CA/B Forum Root Program Requirements	优先选用 ISRG（Let's Encrypt）、Sectigo、DigiCert 等仍被全平台信任的根体系
吊销检查策略	RFC 6960（OCSP）、RFC 5280（CRL）	生产环境启用 OCSP Stapling；避免依赖客户端直连 OCSP 响应器

选型建议：面向不同场景的证书策略

若问题反复出现于自有站点，应评估证书类型与部署方式：DV SSL证书 适合开发测试与个人站，自动化签发快但无组织验证；OV SSL证书 提供组织身份核验，适用于企业官网；对多子域统一管理需求，推荐通配符证书；高合规要求场景（如金融）需考虑国密SSL证书。

常见问题

Q：点击“继续前往不安全网站”是否安全？ A：不安全。该操作仅绕过浏览器证书验证，TLS 加密通道仍建立，但无法保证通信对方身份真实，存在中间人攻击风险。

Q：手机访问正常，电脑提示证书错误，为什么？
A：设备根证书库不同。iOS/macOS 更新频率高于 Windows，Android 各厂商预置差异大；也可能是电脑系统时间错误或安装了企业代理证书。

Q：使用免费ssl证书会导致“无法确认安全性”吗？
A：不会。Let’s Encrypt 的 ISRG Root X1/X2 已被所有主流平台信任；问题通常出在中间证书未部署或旧客户端（如 Windows XP）缺乏根证书。