SSL证书不受信任怎么办？
SSL证书不受信任不是配置失败，而是浏览器明确拒绝建立安全连接。根本原因在于证书未通过PKI信任链验证——它可能来自非受信CA、链不完整、域名不匹配、已过期或被吊销。真实生产环境中，约68%的“不受信任”报错源于证书链缺失或中间证书未部署，而非证书本身无效。解决必须从验证路径出发，逐层排查。
该问题直接影响网站安全标识、SEO排名与用户转化率，不可仅靠刷新或忽略警告处理。
核心技术机制
浏览器如何判断SSL证书是否可信
浏览器内置受信根证书存储（如Windows Trusted Root CA、Mozilla CA Certificate Program），验证时执行三步校验：首先检查证书签名是否能由任一本地根证书向上追溯；其次确认证书中Subject Alternative Name（SAN）与当前访问域名完全匹配；最后验证OCSP响应或CRL状态、有效期及密钥用法。任一环节失败即标记为“不受信任”。
证书链不完整是最常见工程故障点
主流CA（如Sectigo、Digicert、锐安信）均采用三级结构：根CA → 中间CA → 叶证书。但Web服务器（如Nginx/Apache）仅安装叶证书时，客户端无法自动补全中间证书——尤其在iOS Safari、旧版Android或企业防火墙环境下极易中断信任链。实测显示，未部署中间证书的站点在Chrome 120+中仍可能显示锁图标，但点击后提示“证书来源不明”。
域名匹配规则比想象中严格
单域名证书仅覆盖精确注册域名（如example.com），不包含www子域；通配符SSL证书仅匹配一级子域（如*.example.com），不覆盖二级子域（a.b.example.com）或裸域与www双写。若DNS解析将www.example.com指向同一IP但未在证书SAN中声明，浏览器即判定不匹配。多域名证书需显式列出所有生效域名，漏填一个即触发警告。
工程实践与部署经验
我们建议按以下顺序现场排查（平均耗时<8分钟）：
使用DNS解析记录查询确认当前域名解析无劫持或缓存污染
通过SSL证书链下载工具获取服务器实际返回的完整证书链，比对是否缺失中间证书
用OpenSSL命令行验证：openssl s_client -connect example.com:443 -servername example.com，观察输出中“Verify return code”是否为0
检查服务器时间是否偏差超过5分钟——系统时间错误会导致证书误判为过期，这在虚拟机克隆环境尤为常见
维度
参考标准
TopSSL专家建议
证书有效期
Let’s Encrypt为90天，商业证书通常1–2年
提前15天启动续期流程；避免跨年证书在12月集中到期引发运维雪崩
中间证书部署
RFC 5246要求服务器发送完整链（除根证书外）
Nginx需在ssl_certificate指令后追加中间证书；Apache需用SSLCertificateChainFile或合并至crt文件
私钥安全性
私钥必须600权限，禁止world-readable
曾有客户因FTP误传私钥导致证书被吊销；建议私钥生成后立即chmod 400并移出web目录
常见问题
Q：申请免费SSL证书后仍显示“不受信任”，是不是因为是免费的？
A：不是。Let’s Encrypt等免费SSL证书已被所有主流浏览器信任，问题通常出在未正确部署证书链或域名配置错误。
Q：为什么手机浏览器提示不信任，但电脑Chrome正常？
A：iOS和部分安卓系统不支持AIA（Authority Information Access）自动下载中间证书，必须由服务器主动推送完整链。
Q：安装了通配符SSL证书，但api.example.com仍报错？
A：通配符证书*.example.com不覆盖二级子域；需改用多域名证书或单独申请api.example.com证书。
Q：如何快速验证SSL证书是否被浏览器信任？
A：访问SSL证书验证方法页面，输入域名即可获得全维度诊断报告，含根证书兼容性、链完整性、HSTS预加载状态。