【导读】SSL安全证书无效并非偶发现象，而是配置错误、过期疏忽或兼容性缺失的集中反映。及时识别根源并启用受信CA签发的新网SSL证书，是保障HTTPS稳定运行的关键前提。

证书已过期或尚未生效

- SSL证书具备明确的有效期限，通常为90天至2年不等；

- 浏览器会校验当前系统时间是否处于证书NotBefore与NotAfter区间内；

- 新网SSL证书支持到期前30天邮件+短信双重提醒，并提供一键续费与自动部署能力。

域名匹配失败

- 证书绑定的主域名为example.com，则www.example.com、api.example.com默认不被覆盖；

- 单域名证书无法用于子域名，通配符证书（*.example.com）仅涵盖一级子域；

- 多域名证书（SAN证书）最多可扩展100个不同主体域名，适配多端合一架构。

服务器未正确安装中间证书

- 缺失中级CA链导致客户端无法构建完整信任链；

- Nginx/Apache/Tomcat等主流环境均有对应链路拼装规范；

- 新网控制台提供「证书链完整性检测」工具，实时反馈缺失项并推送补丁包。

本地缓存或DNS污染干扰验证

- 用户设备存在旧证书缓存（HSTS策略下尤为明显）；

- 公共DNS可能返回异常解析结果，影响OCSP Stapling响应时效；

- 推荐使用curl -v https://domain.com + openssl s_client命令交叉验证真实状态。

根证书不受操作系统/浏览器信任

- 某些私有CA或老旧签名算法已被Chrome/Firefox/Safari移出信任列表；

- SHA-1签名证书自2017年起全面弃用，RSA密钥低于2048位亦不再符合PCI DSS标准；

- 新网SSL证书全部采用SHA-256哈希+RSA 2048/ECDSA P256双引擎，默认兼容Windows Server 2008 R2及以上版本。

相关问题：

• 为什么更换SSL证书后仍显示“连接不安全”？
• 如何批量更新多个站点的SSL证书而不中断服务？

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。