浏览器地址栏突然出现“服务器证书无效”或者“此网站的安全证书不受信任”，用户被直接拦截，运维侧却不一定能立刻看出问题所在。证书无效并不等于证书一定过期，还可能是中间证书缺失、域名不匹配、客户端时间错误、根证书没有被信任，甚至服务端配置了错误的私钥。排查时应避免一上来就重新申请证书，因为很多情况下证书文件本身并没有问题，只是验证链路被打断。下面按照证书链、时间与域名、信任库和配置重载四个方向整理排查步骤。
一、先确认证书链是否完整
证书链是HTTPS信任验证中最容易出错的环节。服务端需要把网站证书和中间证书一起发送给客户端，客户端再根据中间证书向上找到根证书。如果服务器只配置了网站证书而没有发送中间证书，部分浏览器会自动缓存或下载中间证书，表现正常；但手机端、命令行工具或部分严格校验的客户端会直接判定证书无效。
判断证书链是否完整可以借助OpenSSL。执行下面的命令，观察返回结果中有几个证书块：
openssl s_client -connect www.ipipp.com:443 -servername www.ipipp.com -showcerts
输出中每个BEGIN CERTIFICATE到END CERTIFICATE是一张证书。正常情况下至少会看到两张，分别是网站证书和中间证书。如果只返回一张，说明中间证书没有随握手下发。此时需要到证书颁发机构下载对应的中间证书，并与网站证书合并成一个完整链文件。
Nginx通常使用ssl_certificate指向包含网站证书与中间证书的完整链文件，ssl_certificate_key指向私钥。Apache可以在站点配置里使用SSLCertificateChainFile指定中间证书，或者直接把中间证书追加到证书文件末尾。修改后不要忘记重载服务。
二、检查系统时间与域名匹配
证书的有效期判断依赖系统时间，如果服务器时间或者客户端时间偏差较大，就可能出现证书尚未生效或已经过期的错误。很多内部服务器长期未做时间同步，虚拟机快照恢复后时钟跳变，也会触发这个问题。Linux主机可以用date命令查看当前时间，再执行timedatectl status检查NTP同步状态。客户端电脑同样需要检查右下角时间是否正确、时区是否设置错误。
域名不匹配是另一个高频原因。证书签发时会写入CN或SAN扩展，浏览器会严格校验当前访问的域名是否出现在这些字段中。用OpenSSL可以查看证书的详细信息：
openssl s_client -connect www.ipipp.com:443 -servername www.ipipp.com 2>&1 | openssl x509 -noout -dates -subject -ext subjectAltName
输出中的notBefore和notAfter表示有效期，subjectAltName列出证书支持的域名。访问IP地址时如果证书没有包含该IP，会报证书无效；通配符证书通常只能匹配一级子域，例如*.ipipp.com可以匹配a.ipipp.com，但不能匹配a.b.ipipp.com。遇到域名不匹配，要么更换证书，要么调整访问方式，不要通过忽略证书校验来临时规避。
三、使用OpenSSL定位根证书信任问题
如果证书链完整、时间正确、域名也匹配，仍然提示无效，可能是客户端不信任签发机构。自签名证书、内部CA签发的证书，或者使用较旧根证书的公共CA证书，都会在某些客户端上无法建立信任。浏览器通常会在高级选项中显示具体的证书路径错误，根证书显示为红色或标记为不受信任。
服务端可以使用openssl s_client查看证书颁发者信息：
openssl s_client -connect www.ipipp.com:443 -servername www.ipipp.com 2>&1 | grep -E "subject|issuer"
如果issuer指向一个内网CA或自签名证书，而客户端没有导入对应的根证书，就会失败。修复方法是把根证书分发到所有客户端并加入信任库，或者在内部环境中统一部署企业根证书。公共CA证书出现不信任时，先确认客户端操作系统是否长期未更新，旧系统可能没有内置新的根证书。不同操作系统和浏览器的证书库可能不互通，Windows使用系统证书库，Firefox可能使用独立证书库，排查时要注意客户端环境。
四、修复后的验证与日常注意事项
证书配置修复后，不要只刷新网页就下结论。浏览器会缓存证书状态，甚至因为HSTS策略继续拦截。可以先用命令行做一次干净验证：
curl -Iv https://www.ipipp.com 2>&1 | grep -E "SSL connection|subject:|issuer:|expire date"
命令返回SSL connection using TLS...以及证书信息，说明TLS握手成功。如果仍失败，检查防火墙或负载均衡设备是否替换了证书，某些中间设备会卸载SSL再转发，导致客户端拿到的是设备自带证书。还要确认服务端私钥与证书匹配，避免更新证书后没有更新私钥。
日常维护中建议把证书续期纳入监控，提前设置到期告警。可以使用自动化工具定时检查证书有效期，或通过脚本调用OpenSSL解析notAfter。同时记录证书供应商、中间证书版本和部署位置，方便出错时快速回滚。对于多节点服务，需要检查每台服务器的证书配置是否一致，避免负载均衡后只有部分节点证书有效。最后保留一次完整的排查记录，包括时间点、错误信息、使用的命令和最终修复方式，后续遇到同类问题可以直接复用。