一、先查证书是否过期

证书有效期通常 1–2 年，过期后浏览器直接判不可信。管理员用 OpenSSL 或在线工具查到期日，快到期就联系 CA 续期；托管商有自动续期的建议开启。更新后重启 Web 服务、清浏览器缓存，并验证证书链完整、公私钥匹配。

二、配置错 / 缺中间证书

服务器没装中间证书，客户端就无法验证合法性而告警。用开发者工具看证书详情，确认链含全部中间证书，按官方文档把根、中间、服务器证书按顺序合并安装。同时启用 TLS 1.2 与 TLS 1.3，配兼容加密套件，照顾旧系统/浏览器。

三、系统时间与缓存

• 校准时间：设备时间与真实时间偏差大，会让证书"未生效/已过期"误判。开启自动同步（NTP）。
• 清缓存：浏览器缓存的旧证书会干扰新握手，清 SSL 状态与全部缓存后重开再访问。

四、当心中问人攻击

若证书颁发机构或域名信息异常，可能是恶意代理拦截。对比官方公布的证书指纹，不一致就断网换环境。站点侧可启用证书透明度（CT）日志监控，发现未授权签发立即吊销。

五、快速修复策略