证书不受信任的解决方法
当浏览器显示「证书无效」警告时，首先确认证书颁发机构(CA)是否在浏览器信任列表中。自签名证书需手动导入客户端信任库，而商业环境应优先选择DigiCert、Sectigo等主流CA机构颁发的证书。安装时需特别注意将中间证书与服务器证书合并部署，可使用cat intermediate.crt >> server.crt命令确保证书链完整。
证书链不完整的处理方案
缺失中间证书会导致握手失败，可通过以下步骤修复：
- 从CA机构下载证书链文件包
- 在服务器配置中指定证书链路径
- 使用SSL Labs测试工具验证链完整性
Nginx服务器需将中间证书追加到主证书文件，Apache则通过SSLCertificateChainFile指令单独配置。
私钥匹配失败快速排查
出现「私钥不匹配」错误时，建议：
- 用OpenSSL验证密钥一致性：
openssl rsa -modulus -noout -in private.key | openssl md5 - 重新生成CSR时避免更换服务器环境
- 检查证书详情页的指纹信息是否匹配
证书过期与域名配置
应对证书过期问题可设置自动化续签工具如Certbot，并通过日历提醒有效期截止日期。域名不匹配时需注意：
| 证书类型 | 覆盖范围 |
|---|---|
| 单域名 | 精确匹配(如www.domain.com) |
| 通配符 | *.domain.com的子域 |
| 多域名 | 预先指定的域名列表 |
服务器配置优化建议
完成证书安装后需进行安全加固：
- 禁用SSLv3/TLS 1.0等过时协议
- 启用OCSP装订提升验证效率
- 配置HTTP严格传输安全(HSTS)头
