ERR_CERT_REVOKED 是什么错误？

ERR_CERT_REVOKED 是什么错误？

ERR_CERT_REVOKED 是浏览器在检测到 SSL/TLS 证书已被证书颁发机构（CA）吊销后显示的安全错误提示，常见于 Chrome、Edge 等 Chromium 内核浏览器。它明确表示该网站当前使用的证书已经被证书颁发机构（CA）主动吊销（Revoked），不再具备可信身份。

当触发此报错时，浏览器会直接拒绝建立 HTTPS 连接并阻断访问。这代表该证书的生命周期与信任状态已失效，需要重新申请并部署有效证书才能恢复访问。

在处理证书状态或申请新证书前，可先查阅 什么是SSL证书？ 与 免费SSL证书是什么？怎么申请？。

一、核心技术机制：浏览器如何检测证书被吊销？

浏览器在建立 TLS 握手时，不仅需要校验证书的有效期和域名匹配度，还会通过以下机制核查其吊销状态：

• OCSP（在线证书状态协议）：客户端或浏览器可以通过 OCSP 查询证书当前状态，部分服务器也可通过 OCSP Stapling 提前提供状态信息，减少客户端查询压力。
• CRL（证书吊销列表）：CA 定期发布包含已吊销证书序列号的列表文件，客户端下载后进行本地对比。因文件体积过大和更新滞后问题，在现代 Web 场景中已逐步减少直接使用，但在部分企业环境和传统PKI系统中仍然存在。。

只要上述任一校验链路返回“Revoked”状态，浏览器就会阻断连接并弹出 ERR_CERT_REVOKED 提示。

关于证书类型及其生命周期管理的相关知识，可参考 SSL证书类型怎么分？。

二、触发 ERR_CERT_REVOKED 的典型原因

证书颁发机构（CA）不会无故吊销证书，常见的触发原因包括：

1. 私钥泄露风险：服务器被入侵、代码仓库（如 GitHub）误上传私钥、或私钥明文写入了服务器日志。一旦发现私钥风险，CA 会立即将其强制吊销。
2. 域名控制权变更：多域名或通配符证书绑定的某个子域名所有权归属发生变更且未及时重新验证。
3. 资质审核撤销：OV/EV 企业型证书在复核期间发现资质造假、公司注销或主体信息不符。
4. 主动申请吊销：管理员因业务迁移、服务商变更或合规审计要求，主动向 CA 申请作废旧证书。
5. CA发现签发错误：例如域名验证流程异常、证书错误签发、CA安全事件；因为真实历史事件中 CA主动吊销证书非常常见。

需要强调的是，若通配符证书（*.example.com）被吊销，其保护的所有子域名（如 api.example.com、shop.example.com）都会同步失效。

三、故障排查与应急修复步骤

出现 ERR_CERT_REVOKED 错误后，不可通过常规手段强行忽略。在企业实际运维中，遇到 ERR_CERT_REVOKED 后，第一反应不是修改服务器配置，而是先确认证书状态，因为这个错误和普通的证书过期、域名不匹配不同。

在新证书选购或选择高可用证书方案时，也可查看 SSL证书选购指南 或 网站如何从HTTP更改为HTTPS？。

常见问题 FAQ

Q：ERR_CERT_REVOKED 报错可以在浏览器中强行忽略并继续访问吗？

A：基于 Chromium 内核的浏览器（如 Chrome、Edge）出于安全保护，对吊销报错采取强制阻断机制，默认不提供“继续访问”按钮。严禁在包含敏感数据的生产环境中绕过该限制。

Q：免费 SSL 证书（如 Let’s Encrypt）被吊销后，能否重新免费申请？

A：可以。免费证书支持重新申请并重新完成域名所有权验证，建议使用自动化脚本（如 acme.sh）进行签发与续期管理，降低人工维护失误。

Q：如何预防 SSL 证书被意外吊销？

A：严禁将私钥文件（.key 或 .pem 中的私钥段）上传至公共代码仓库或公开日志中；同时确保企业域名 WHOIS 信息与注册资质真实有效，避免触发 CA 的安全合规审核吊销。

Q：SSL证书被吊销后多久生效？

回答：CA完成吊销后，浏览器会根据自身证书状态检查机制更新状态。实际表现取决于浏览器缓存、吊销列表更新频率以及客户端环境。