网站打不开提示“证书错误”，该如何处理？
当用户访问 HTTPS 网站时，如果浏览器提示：
您的连接不是私密连接 或 证书错误（NET::ERR_CERT_COMMON_NAME_INVALID / ERR_CERT_DATE_INVALID）说明网站的 SSL/TLS 证书存在问题。以下是常见原因及解决方法。
一、常见证书错误类型及原因
| 错误类型 | 描述 | 常见原因 |
|---|---|---|
| 证书过期 | 证书有效期已结束 | 未及时更新或续费证书 |
| 证书域名不匹配 | 证书绑定的域名与当前访问地址不符 | 使用了错误证书或多域名未全部包含 |
| 证书链不完整 | 缺少中间证书或根证书未正确安装 | 服务器配置不完整导致信任链断裂 |
| 自签名证书 | 证书未由受信CA签发 | 测试环境使用或未部署正式证书 |
| 证书协议版本不支持 | 使用旧版协议（如 SSLv3）或加密套件不兼容 | 客户端或服务器配置不当 |
二、排查与解决步骤
✅ 步骤1：检查证书是否过期
- 在浏览器中点击地址栏锁形图标 → 查看证书信息；
- 查看“有效时间”是否在当前日期范围内；
- 如果已过期，请重新申请并部署新证书。
✅ 步骤2：确认证书域名是否匹配
- 检查证书中绑定的域名（Subject 和 SAN）；
- 确保当前访问的域名（如 www.example.com 和 example.com）都在证书覆盖范围内；
- 否则需更换为通配符证书或多域名证书。
✅ 步骤3：检查证书链是否完整
- 登录服务器查看是否部署完整的证书链（包括中间证书）；
- 可通过 SSL Labs 免费检测工具 进行在线检测；
- 若提示“Chain issues”，请补全中间证书。
✅ 步骤4：确保证书正确安装到服务器
- 检查 Nginx/Apache/IIS 是否正确加载证书文件和私钥；
- 配置文件中路径是否正确（如
ssl_certificate和ssl_certificate_key）； - 对于虚拟主机用户，可通过控制面板重新上传证书。
✅ 步骤5：避免使用自签名证书
- 自签名证书无法被浏览器信任，适用于测试环境；
- 生产环境中应使用由可信CA颁发的证书（如 Let's Encrypt、阿里云、腾讯云等）。
✅ 步骤6：检查服务器 TLS 协议和加密套件配置
- 不推荐使用 SSLv3、TLS 1.0 等老旧协议；
- 推荐启用 TLS 1.2 或 TLS 1.3，并使用现代加密套件；
- 可通过服务器配置优化安全性（如 OpenSSL 配置）。
三、临时解决方案（仅限测试）
| 方法 | 描述 | 风险 |
|---|---|---|
| 忽略证书错误继续访问 | 输入 thisisunsafe（Chrome）或点击“高级”→“继续访问” |
存在数据泄露风险，仅用于测试 |
| 添加证书到本地信任列表 | 导出证书并手动添加为“受信任的根证书颁发机构” | 仅适用于内网或局域网环境 |
四、总结
当网站出现“证书错误”提示时，通常是由以下原因引起：- 证书过期；
- 域名不匹配；
- 证书链不完整；
- 使用自签名证书；
- 协议或加密配置不当。
- 检查证书有效期和域名；
- 确认证书链是否完整；
- 核对服务器配置是否正确；
- 更新或重新部署证书；
- 优化 TLS 协议和加密配置。
更新时间：2025-05-15 13:16:07
上一篇：Windows Server 2003 + IIS6.0 网站出现“401.3 未授权：访问由于 ACL 设置被拒绝”，如何解决？
下一篇：