中间证书过期会导致网站HTTPS失效吗？
会。中间证书（Intermediate CA Certificate）一旦过期，即使您的终端证书（End-Entity Certificate）仍在有效期内，浏览器也会在证书链验证阶段中断信任路径，直接显示“您的连接不是私密连接”或 NET::ERR_CERT_AUTHORITY_INVALID 错误。这不是配置问题，而是PKI信任链断裂的典型表现。
该段结束后换行
输出一行普通文本。
中间证书是根证书（Root CA）与网站SSL证书之间的信任桥梁，由CA机构签发并预置在操作系统或浏览器信任库中。它不直接面向用户，但必须随终端证书一同部署到服务器——否则TLS握手无法完成完整链式验证。
为什么中间证书会单独过期？
根证书有效期通常长达15–25年（如DigiCert Global Root G3），而中间证书出于安全轮换策略，CA普遍设定为3–5年有效期。2021年Sectigo更换中间证书、2023年Let’s Encrypt R3中间证书到期等事件，均引发大量网站HTTPS中断。这类过期不受终端证书续订影响，必须人工干预更新证书链。浏览器如何验证中间证书？
Chrome、Firefox、Safari在TLS 1.2/1.3握手时，不仅校验终端证书签名和域名匹配，还会递归向上验证每一级签发者：检查中间证书是否由可信根签发、是否在有效期内、是否被吊销（通过OCSP或CRL）。任一环节失败即终止连接。值得注意的是，Android 7+ 和 iOS 14+ 已默认禁用本地缓存中间证书，完全依赖服务器主动下发完整链。运维中常见的中间证书部署陷阱
我们曾在某金融客户CDN节点发现：Nginx配置中仅部署了domain.crt，遗漏了intermediate.crt；虽可通过openssl s_client -connect验证端口通，但真实用户访问时Chrome 112+ 稳定复现ERR_SSL_VERSION_OR_CIPHER_MISMATCH。根本原因是现代浏览器已不再尝试从网络自动补全缺失中间证书（CA/B Forum BR 7.1.4明确禁止）。正确做法是将终端证书与中间证书合并为一个PEM文件，且顺序必须为：终端证书 → 中间证书（→ 可选二级中间证书），根证书**绝不**放入该文件。| 场景 | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 证书链完整性检测 | CA/B Forum BR §7.1.3 | 使用 SSL证书检查工具 实时扫描，重点确认“Certificate Chain”状态为绿色“Complete” |
| 中间证书更新时机 | CA/B Forum Baseline Requirements v2.0 | 在中间证书到期前90天启动更新流程；切勿等待告警邮件——多数CA不再主动通知 |
| 多环境一致性保障 | PCI DSS Requirement 4.1 | Web服务器、负载均衡（如F5）、CDN（如腾讯云CDN）、WAF（如阿里云WAF）必须同步更新证书链，漏一处即全站告警 |
常见问题
Q：我的SSL证书还有2年才到期，为什么突然提示“证书不受信任”？ A：极大概率是所依赖的中间证书已过期。请立即用 SSL证书检查工具 验证证书链完整性，并重新下载最新中间证书合并部署。Q：重装中间证书后仍不生效，需要重启服务吗？
A：Nginx需执行 nginx -s reload；Apache需 apachectl graceful；IIS需在MMC中“刷新”证书存储；CDN类服务（如Cloudflare）则需手动触发“强制刷新证书”操作。
Q：能否自己生成中间证书替代CA提供的？
A：不能。自签名中间证书不会被任何主流浏览器信任，且违反CA/B Forum合规要求。必须向原CA申请新链，或切换至支持自动链更新的CA（如Sectigo提供Auto-Chain功能）。
京公网安备11010502031690号
网站经营企业工商营业执照
