中间证书丢了会怎样：浏览器能开、curl 却报错的证书链问题
服务器只发叶子证书而不带中间证书时，浏览器常因缓存了中间证书而显示正常，curl、Java 客户端却会握手失败。本文解释证书链的构成、为什么不同客户端表现不一致，以及如何排查和修复。
阅读全文CERTBOTX / 证书知识库
SSL/TLS 资讯与实战指南
从证书签发到部署复核，阅读 SSL/TLS 运维指南、DNS-01 验证教程、故障复盘和安全实践。结合免费检测工具，解决 HTTPS 证书管理中的具体问题。
最新文章
75 篇 · 3 / 4 页续期成功了，Nginx 却还在用旧证书：证书热加载这个坑
ACME 自动续期跑得好好的，线上却在半夜报证书过期。多数时候问题不在签发，而在 Web 服务器没有 reload，新证书躺在磁盘上没人读。本文梳理这个断点的成因、排查方式和可靠的处置办法。
阅读全文一条能落地的证书运维规范：签发后 30 天内完成部署并下线旧证书
证书躺在工单系统里没部署、旧证书到期前一天才有人想起，是最常见的两类线上事故源头。这篇讲一条简单的内部规范——签发后 30 天内完成部署并下线旧证书——以及它在哪些场景不适用。
阅读全文自动续期跑了一年，私钥却从来没换过——谈证书轮换中最容易被跳过的一环
很多站点证书一直在正常续期，但私钥从部署第一天起就没换过。本文分析私钥长期不换带来的泄露窗口问题，给出强制换密钥、吊销旧证书和审计部署记录的具体做法。
阅读全文续期明明显示成功，浏览器里却还是旧证书：从 deploy hook 缺失排查起
证书自动续期返回 success，线上证书却没换，这是自动化运维里最常见的"假成功"。本文梳理从证书文件、Web 服务加载状态到 renew 钩子配置的完整排查路径，并说明如何把重载动作固化进续期流程，避免每 90 天踩…
阅读全文证书链中间证书缺失：浏览器没事、curl 报错的原因
很多“证书不受信任”的故障其实只差一个中间证书。本文解释证书链的构成、为什么浏览器能自动补上而 API 客户端不行，以及什么时候必须自己修。
阅读全文为什么浏览器能打开、curl 却报证书错：聊聊中间证书与完整链
服务器只发叶子证书时，浏览器常靠缓存和 AIA 补齐中间证书，看起来一切正常；但 curl、Java、移动端 SDK 不会替你补，于是报 chain incomplete。本文解释证书链的构成、AIA 的作用，以及如何检…
阅读全文浏览器能打开、curl 却报 unable to get local issuer：中间证书链断了
同样的 HTTPS 站点，浏览器正常而 curl、Java 客户端却报证书错误，多半是服务器没发完整证书链。本文解释中间证书的作用、为什么会漏发，以及如何排查和修复。
阅读全文证书没过期，为什么半夜还是被用户投诉打不开——聊聊证书生命周期里那些监控覆盖不到的坑
证书生命周期的事故大多不是"忘了续期"，而是续了但旧证书还在某个节点上、链不完整、或多套签发渠道互相覆盖。本文梳理这些监控盲区，并说明自动化签发与部署审计如何把问题收敛到可控范围。
阅读全文一个域名一张证书，还是一张通配符证书打全场？
子域名多起来之后，运维常纠结：给每个域名单独签证书，还是直接上一张通配符证书。本文从验证方式、泄露影响面、续期自动化和证书透明度日志等角度，比较两种做法在真实场景下的取舍。
阅读全文用 testssl.sh 体检一台服务器的 TLS 配置：它查什么、怎么跑、结果怎么看
testssl.sh 能在不改动服务的前提下，把一台服务器的证书、协议版本、加密套件和常见漏洞扫一遍。本文说明它的检查边界、典型用法，以及如何解读那些容易误报的红色告警。
阅读全文用 CNAME 委托把 ACME DNS-01 验证甩给专用区域，再把证书自动推到 EdgeOne
当主域名的 DNS 不便开放 API 时，可以用 CNAME 把 _acme-challenge 委托给一个可自动化的子区域完成 DNS-01 签发，再将证书自动部署到 EdgeOne 边缘节点。本文给出前置条件、具体步…
阅读全文浏览器第一次访问 HTTPS 时，域名验证、签发、握手和 CT 日志到底各管什么
很多人把“证书签发”和“建立加密连接”当成一回事，也把 CT 日志误认成证书的一部分。这篇拆解 HTTPS 首访背后四件独立的事：域名控制权验证、CA 签发、TLS 握手、公网透明度检查，帮你定位问题到底出在哪一环。
阅读全文第一次给网站启用 HTTPS：域名、证书和部署该怎么理解
第一次配置 HTTPS 时，域名验证、证书签发和部署常常混在一起。把它们拆开看，就能知道每一步到底是在解决什么问题。
阅读全文HTTPS 是什么？为什么网站从 HTTP 换成 HTTPS 后更可信
HTTPS 不是给网址多加一个字母，而是在浏览器和网站之间建立加密连接。本文解释它和 HTTP 的区别，以及普通网站为什么也值得启用。
阅读全文SSL 证书是什么？网站地址栏小锁背后到底在做什么
浏览器地址栏里的小锁并不是装饰。它代表网站正在使用加密连接，也帮访客确认自己访问的不是冒牌页面。
阅读全文CertbotX 免费版能做什么？从一个网站开始管理 HTTPS
第一次接触证书自动化，不必先把所有概念学完。本文用日常语言讲清楚免费版适合谁、能帮你省掉哪些重复操作，以及开始前要准备什么。
阅读全文证书里的 CN 早就不够用了：SAN 到底在管什么
很多人排查 TLS 报错时还在看证书的 CN 字段，但现代浏览器早已只认 SAN。这篇解释两者的关系、为什么会踩坑，以及签发和配置证书时该注意什么。
阅读全文证书自动续期成功了，为什么线上还是老的
ACME 自动续期跑通了，浏览器却依旧提示证书即将过期。这类问题多数不在签发环节，而在部署与生效环节。本文按现场排查顺序梳理签发成功、但线上未更新的常见原因和核验方法。
阅读全文用 testssl.sh 给站点做一次 TLS 体检：它查了哪些、怎么跑、结果怎么看
介绍开源工具 testssl.sh 的检查范围、本地与线上两种跑法，以及如何读懂它的红绿输出：哪些红色真该紧张，哪些只是审美问题，帮你把一次扫描变成可执行的整改清单。
阅读全文