网站证书颁发机构不被系统信任_从申请到部署完整流程_完整排查指南
浏览器提示NET::ERR_CERT_AUTHORITY_INVALID，说明网站的SSL证书不被浏览器信任，证书颁发机构不在浏览器的根证书库中。这个错误会导致用户无法正常访问HTTPS网站，看到红色的安全警告页面，严重影响用户信任和网站访问量。证书无效的原因有多种，可能是自签名证书、缺少中间证书、证书颁发机构不被信任、证书过期、证书域名不匹配等。本文讲解错误的原因和解决方法。
第三步是检查证书链完整性。完整的证书链包括：根证书（预装在浏览器中）-> 中间证书（由CA提供，需要部署到服务器）-> 网站证书（部署到服务器）。很多站长只部署了网站证书，没有部署中间证书，导致浏览器无法验证完整的信任链，提示颁发机构无效。Nginx环境下，ssl_certificate指令需要指向包含网站证书和中间证书的合并文件（网站证书在前，中间证书在后）。Apache环境下，SSLCertificateFile指向网站证书，SSLCertificateChainFile指向中间证书。IIS环境下，导入证书时需要同时导入中间证书，或者导入PFX格式的完整证书包。
第六步是检查CDN和负载均衡的证书配置。如果使用了CDN或负载均衡，用户访问的是CDN/负载均衡的证书，不是源站的证书。需要确认CDN/负载均衡上部署的证书正确且有效。常见问题包括：CDN上的证书过期未更新；CDN证书的域名不匹配；CDN使用了自签名证书；负载均衡的SSL证书配置错误；CDN和源站都配置了HTTPS但证书不一致。检查CDN后台的证书状态，确保证书有效且域名匹配。如果CDN支持免费证书，优先使用CDN提供的证书，自动续期更方便。
解决证书无效问题的推荐方案是使用受信任CA颁发的免费证书。Let's Encrypt提供免费的SSL证书，受所有主流浏览器信任，支持自动续期。使用Certbot工具可以一键申请和部署证书，自动配置Nginx/Apache，自动续期。宝塔面板等主机面板也集成了Let's Encrypt证书申请功能，在面板中点击申请即可自动完成。申请时选择包含带www和不带www的域名，确保证书覆盖所有访问域名。申请完成后面板会自动部署证书和中间证书，避免手动配置出错。
站长反馈：网站配置HTTPS后Chrome提示证书无效，查看证书详情发现缺少中间证书。从CA下载了中间证书，合并到网站证书中重新部署，问题解决。很多CA颁发的证书需要手动合并中间证书，部署时一定要注意证书链完整。
部署提醒：部署SSL证书时确认证书链完整，网站证书在前，中间证书在后。确认证书的SAN包含所有访问域名（带www和不带www）。使用SSL Labs检测验证配置。私钥文件妥善保管，权限设置为600，不要泄露。
更新时间：2026-09-02 12:53:44
上一篇：FTP代理连接失败代理服务器问题_FTP常见错误集锦教程详解