CERTBOTX / 证书知识库

故障复盘

从证书与 HTTPS 故障的症状定位根因并建立预防措施。阅读相关 SSL/TLS 实战文章，了解前置条件、操作步骤与验证方法，并结合免费检测工具检查实际结果。

8 篇 · 1 / 1 页

证书明明没到期，部分用户却打不开网站：一次中间证书缺失故障复盘

复盘一起典型的 TLS 故障：证书在有效期内，桌面浏览器正常，但部分移动端和 API 客户端报证书错误。根因是服务器漏发中间证书。记录排查过程、为什么问题具有迷惑性，以及如何用自动化签发部署避免重蹈覆辙。

一次线上证书过期告警的复盘：ACME 续期任务正常跑完、新证书已落盘，但 nginx 加载的还是旧证书。记录症状、定位过程、根因和几条防止再犯的具体做法。

一次典型的证书到期故障：ACME 续期流程本身跑通了，新证书已经躺在磁盘上，但 Nginx 从未 reload，线上跑的还是旧证书。复盘症状、排查路径和三层预防措施。

线上证书明明在有效期内，桌面浏览器一切正常，却有一批 Android 客户端持续报证书错误。复盘发现根因是服务器漏配中间证书，部分客户端无法自动补链。记录症状差异、排查路径与预防措施。

证书链中间证书缺失时，桌面浏览器往往靠缓存"假装正常"，而 API 客户端和部分移动端直接握手失败。本文复盘这类故障的典型症状、根因定位方法，以及如何用完整链和部署审计避免复发。

一次 TLS 故障复盘：证书未到期、浏览器正常，但部分安卓客户端和命令行工具报证书链验证失败。根因是服务器只发了叶子证书、漏了中间证书。记录排查过程与预防方法。

Let's Encrypt 将把证书有效期缩短至 45 天，并配套调整速率限制、推广 ARI 续期信息。这意味着依赖人工续期证书的运维方式风险更高，本文借一次典型过期事故说明症状、根因与自动化预防。

某服务完成证书续期后，主流浏览器访问正常，但 Java、命令行工具和部分 API 调用持续报证书链验证错误。故障根因是部署文件未包含新的中间证书，且部分客户端缓存了旧链路。