SSL证书安装后浏览器不信任怎么办？

SSL证书安装后浏览器不信任怎么办？

SSL 证书安装完成后，如果浏览器仍然提示：

• “您的连接不是私密连接”
• “证书不受信任”
• NET::ERR_CERT_AUTHORITY_INVALID
• SEC_ERROR_UNKNOWN_ISSUER

这说明浏览器无法建立完整的 SSL 信任链。HTTPS 连接建立时，浏览器不仅检查服务器返回的域名证书，还需要验证证书的签发机构是否在本地信任库中、中间证书链是否完整以及域名是否匹配。如果任一环节失败，浏览器都会拒绝建立可信连接。

若想了解 SSL 证书的基础机制，可参阅：什么是SSL证书？

SSL 证书不受信任的常见原因

1. 中间证书链缺失（最常见）

这是生产环境出现频率最高的问题。很多管理员安装 SSL 证书时，只上传了域名证书 (example.com.crt)，却遗漏了中间 CA 证书。

为什么 PC 正常但手机异常？

桌面浏览器有时会通过 AIA (Authority Information Access) 扩展自动下载缺失的中间证书。但手机系统、IoT 设备、API 客户端及部分企业软件通常不会自动补链，导致出现“电脑访问正常，手机访问失败”的情况。

2. 使用了自签名证书

如果您通过 openssl req -new -x509 生成了自签名证书，浏览器无法追溯该证书的签发源头，因此会提示 NET::ERR_CERT_AUTHORITY_INVALID。生产环境建议使用 DigiCert、Sectigo、GlobalSign、锐安信或 Let's Encrypt 等权威 CA 签发的证书。

3. 签发机构未被系统内置

如果使用了极小众的 CA 或企业内部私有 CA 签发的证书，且其根证书未预装在操作系统中，浏览器会因为无法验证签发方的合法性而触发警告。

4. 服务器部署了错误证书

更换证书后仍提示不信任，往往是因为服务器实际返回的仍是旧证书。这多见于 Nginx 未重载、CDN 边缘节点未同步或负载均衡器配置未更新。

如何修复 SSL 证书不受信任？

第一步：检查证书链是否完整

在服务器终端运行以下命令进行验证：

Bash

openssl s_client -connect example.com:443 -showcerts

正常结果应包含 Certificate chain，且下方至少显示 2 张证书（0 号为网站证书，1 号及以后为中间证书）。如果只显示 0 号证书，则证明中间证书链缺失。

第二步：检查并合并完整证书链

将域名证书与中间证书合并为 fullchain.pem，格式如下：

Plaintext

-----BEGIN CERTIFICATE-----
(网站证书内容)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(中间CA证书内容)
-----END CERTIFICATE-----

Nginx 配置示例：

Nginx

ssl_certificate /etc/nginx/ssl/fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/private.key;

配置完成后，请务必执行 nginx -t 和 nginx -s reload。

Apache 配置示例：

Apache

SSLCertificateFile /path/to/certificate.crt
SSLCertificateChainFile /path/to/intermediate.crt
SSLCertificateKeyFile /path/to/private.key

第三步：确认域名是否匹配

证书必须包含当前访问的域名。如果访问 [www.example.com](https://www.example.com) 但证书仅签发给 example.com，会报 NET::ERR_CERT_COMMON_NAME_INVALID。请确保证书规格（单域名、多域名或通配符）覆盖了您的访问需求。

三、浏览器仍提示不信任怎么办？

如果服务器已修复，但客户端依然报错，请执行以下检查：

1、​清理浏览器缓存，尝试使用无痕/隐私模式访问。 2、检查 HSTS 策略，部分浏览器会强制记录错误的安全策略。若使用 Chrome，可访问 chrome://net-internals/#hsts，删除对应域名的 HSTS 记录。 3、CDN/负载均衡同步，若使用了阿里云、腾讯云、Cloudflare 等 CDN，必须在 CDN 后台同步更新证书，否则边缘节点仍会推送旧证书。