为什么 browsers show "untrusted" even 具有有效 certificate?

最多常见原因是 missing 中级 certificate. 服务器必须发送完整链接 (服务器 + 中级). 根是不 sent — 它必须已经是在 browser's trust 存储.

如何 I automate renewal?

Use ACME (Let's Encrypt) 具有客户端 like certbot 或 acme.sh. 集合上 cron 作业到 renew 30 days 之前 expiration. 为 paid certificates, use CA's API 或集合 calendar reminders.

Install TLS certificate 开你的服务器

之后 receiving signed certificate 从 CA, install 它具有正确链接 order 和验证部署具有 TLS handshake.

1

完整 TLS 部署 requires: 服务器 certificate, 私有键, 和中级 certificate 链接. 链接必须是在 order: 服务器 cert 第一, 然后中级上到根. missing 或 out-of-order 链接 causes "untrusted certificate" 错误在 browsers.
2

RSA 工具 →
Verify 你的私有键 matches certificate 通过 comparing 公共键 modulus. 如果它们不匹配, certificate 是 generated 具有不同键和将不工作.
3

哈希计算器 →
计算 the SHA-256 fingerprint of the certificate to verify it matches what the CA issued. This detects corruption or tampering during download.
4

之后 installation, 测试具有 TLS 客户端 (e.g., openssl s_client, curl, browser). Verify: 链接是完整, certificate 是不已过期, hostname matches SAN, 和 OCSP stapling 工作. Monitor expiration 和集合 renewal reminders.

常见问题

为什么 browsers show "untrusted" even 具有有效 certificate?: 最多常见原因是 missing 中级 certificate. 服务器必须发送完整链接 (服务器 + 中级). 根是不 sent — 它必须已经是在 browser's trust 存储.
如何 I automate renewal?: Use ACME (Let's Encrypt) 具有客户端 like certbot 或 acme.sh. 集合上 cron 作业到 renew 30 days 之前 expiration. 为 paid certificates, use CA's API 或集合 calendar reminders.