【导读】CA证书不是单张文件，而是包含根证书、中间证书和终端实体证书的信任链条。任一环节断裂都将导致HTTPS连接失败。掌握CA证书链完整性校验方法，是保障网站稳定启用新网ssl证书的前提。

CA证书的本质：三层信任结构不可割裂

公钥基础设施（PKI）依赖分级签发体系构建数字信任。最顶层为操作系统或浏览器内置的受信根CA证书；中间层为由根CA授权签发的中级CA证书；底层才是面向域名颁发的新网ssl证书。

当前主流浏览器仅默认信任约100家全球根CA机构所签署的证书。若新签发的SSL证书未正确绑定对应中级CA证书，则客户端无法回溯到已知根节点，触发SEC_ERROR_UNKNOWN_ISSUER错误。

常见故障场景与精准排查路径

- 浏览器显示“此网站出具的安全凭证并非来自受信任的源” → 检查服务器是否遗漏发送中级CA证书包
- 移动端访问正常但PC端报错 → 对比Chrome/Firefox/Safari各自维护的根存储差异
- 新旧证书切换后异常 → 验证Nginx/Apache配置中SSLCertificateChainFile指令是否存在或指向失效路径
- 使用OpenSSL命令行诊断：openssl s_client -connect example.com:443 -showcerts 观察返回结果中是否有完整三级证书序列

新网SSL证书交付即含全量信任链支持

新网自建符合WebTrust国际审计标准的CA系统，所有对外签发的新网ssl证书均配套提供：

• 经SHA-65536哈希算法加固的标准PEM格式中级证书Bundle
• 兼容Apache/Nginx/Tomcat/IIS多平台的一键安装脚本
• 基于RFC 5280规范生成的OCSP Stapling响应模板
• 实时更新的CRL分发地址清单及AIA扩展字段嵌入

运维人员必做的三项日常核查

1. 每季度运行自动化检测工具扫描全部站点证书有效期与链路完整性
2. 更新负载均衡设备固件前同步确认其TLS握手流程对SNI+证书链的支持能力
3. 将证书吊销状态查询接口纳入CI/CD流水线健康检查项

延伸思考

Q1：为何某些免费SSL证书在老旧Android版本上频繁失信任？
Q2：私有CA环境下能否复用公共CA的中级证书实现混合信任？

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。