开发者指南
SSL 证书异常时应该先检查什么
HTTPS 报错可能来自证书过期、域名不匹配、中间证书链缺失、DNS 指向错误，或者部署平台返回了其他项目的证书。按顺序检查可以让问题更快收敛。
先确认访问的主机名
证书是签发给具体域名的。根域名、www 域名和子域名可能使用不同证书。浏览器提示名称不匹配时，先确认用户实际访问的 host 是否在证书的 SAN 列表里。
到期时间是第一优先级
证书过期是最常见也最容易忽略的问题。除了检查日期，还要预留 DNS、CDN、部署和缓存传播时间，不要等到最后一天才续期。
检查证书链和颁发机构
证书本身有效，不代表所有客户端都能信任。中间证书链缺失时，一些浏览器可能正常，另一些客户端会失败。迁移托管平台或 CDN 后尤其要检查这一点。
DNS 和部署层也会影响证书
如果 DNS 指向了错误服务，对方可能返回另一个项目的证书。修改 DNS、添加域名或切换平台后，要确认域名已经绑定到正确部署。
把修复流程记录下来
证书问题不是一次性任务。记录证书提供方、续期入口、负责人与提醒方式，下次遇到同类问题时会少很多排查成本。
按顺序排查
- 记录准确主机名、端口、UTC 时间、客户端和报错。
- 确认 DNS 指向预期服务，代理或 CDN 没有返回其他证书。
- 使用 SNI 检查该主机名实际返回的证书。
- 检查有效期、SAN、颁发者和完整证书链。
- 从第二个网络或客户端复测，排除本地缓存和信任库差异。
- 修复后再次从公网验证，而不是只看控制台状态。
域名匹配以 SAN 为准
现代客户端会把请求主机名与 Subject Alternative Name 比较。签发给 example.com 的证书不会自动覆盖 api.example.com；*.example.com 通常只覆盖一层子域名，不覆盖 v2.api.example.com。
叶证书有效也可能失败
服务器通常需要发送建立信任链所需的中间证书。桌面浏览器可能因为缓存而忽略缺失链条，但干净的移动设备、API 客户端或服务器进程仍会失败。必须检查服务器实际发送的链。
在线检查器的边界
远程检查只观察某个地点的一次公网连接，不能证明所有 CDN 区域、私有源站、IPv4/IPv6 地址或鉴权服务都配置一致。它适合定位线索，但仍需结合托管平台、监控和真实客户端复核。
来源与复查说明
相关工具
打开 SSL Checker，检查公开证书信息。