SSL 证书错误排查指南

浏览器提示"您的连接不是私密连接"、curl 报 SSL error、小锁变感叹号——按错误类型对号入座。

先看错误类型

NET::ERR_CERT_DATE_INVALID	证书过期：90 天的 Let's Encrypt 忘了续期
ERR_CERT_COMMON_NAME_INVALID	域名不匹配：证书是 A 域名的，访问的是 B（或漏了 www）
混合内容警告	HTTPS 页面里引用了 http:// 的图片/脚本
ERR_SSL_VERSION	协议/加密套件太老：服务器 TLS 配置落后于浏览器要求
curl: (60) SSL certificate problem	服务器缺证书链（只有叶子证书，缺中间证书）

诊断命令

# 看证书有效期、签发者、覆盖域名
openssl s_client -connect example.com:443 -servername example.com /dev/null \
  | openssl x509 -noout -dates -issuer -subject

# 看完整证书链是否完整
openssl s_client -connect example.com:443 -servername example.com /dev/null | grep -E '^(depth|verify)'

修复对照

过期：certbot renew（先 certbot renew --dry-run 演练）；续期失败多因 80 端口被占或解析变更。
域名不匹配：重新签发并带上所有域名 certbot --nginx -d a.com -d www.a.com。
缺中间证书：fullchain.pem（含中间链）而不是 cert.pem 配到 Nginx。
混合内容：全站把 http:// 资源改 https:// 或协议相对地址；WordPress 可用搜索替换一次性改。

还没配证书？看 Let's Encrypt 免费证书配置教程。其他故障：502 排查 · DNS 不生效排查