SSL证书部署8个常见问题自查手册｜来自一线的近300条工单|代码|国密|服务器|浏览器|私钥|自查手册

在数字证书服务的一线支持中，天威诚信技术团队每天都会接到大量的客户真实咨询。

于是，我们把近期的近300条支持工单做了完整梳理，按出现频率，提炼出了8类高频问题——多数问题在联系支持之前，当您遇到类似的问题时，可以按照下面的路径先自查一遍，几分钟就能定位到原因。

一、证书部署完成了，但访问还是旧证书

这是出现频率最高的一类问题：服务器上明明更新了证书，浏览器打开却是旧证书。

建议您按顺序自查：

第一：确认服务器上实际加载的证书文件路径是否正确——nginx、tomcat、宝塔等环境中，配置文件指向的路径和更新的文件经常不是同一份；
第二：域名前面是否挂了CDN、WAF或全站加速——很多客户更新的是源站证书，而CDN节点上还是旧证书，这类情况占了相当比例；
第三：多台服务器、多节点的环境，是否只更新了其中一台；
第四：清除浏览器缓存或换浏览器验证。排查线上实际生效的证书，可以在命令行用openssl s_client或在线检测工具直接查看。

二、浏览器提示"证书链不完整"或者是ERR_CERT_AUTHORITY_INVALID

"您的连接不是私密连接""无法验证到受信任的证书颁发机构"，背后最常见的原因是中间证书没有一起部署。

服务器证书单独安装、缺少中间CA，Windows下部分浏览器可能正常，但手机、Mac或其他环境立刻报错——这也是"电脑访问正常、手机访问报错"这一类问题的主因。

自查方法：用在线检测工具查看证书链是否完整；部署时将服务器证书与中间证书按顺序一并配置；IIS环境需要先在服务器导入中间CA再绑定证书。内网系统、Java客户端、POS终端等环境，还需要将根证书导入本地信任库。

三、代码签名证书：下载报错、签名失败

代码签名类工单的数量位列前茅，报错集中在几个点上：

UKey识别不到：优先检查驱动版本与操作系统兼容性（Windows Server 2022等新系统尤其常见），必要时重装驱动；
远程桌面、向日葵等远程环境中签名失败：是普遍现象，建议在插有UKey的本机操作；
SignTool 报错找不到私钥/时间戳服务器：以管理员身份运行命令行；签名时确认已接入时间戳服务器地址；
下载证书报 CertEnroll 类错误：多为浏览器环境或口令输入问题，更换浏览器重试、核对下载口令。

四、证书格式转换：jks、pfx、pem、cer 之间怎么选

不同服务器要求不同格式：tomcat 用 jks，nginx/apache 用 pem + key，IIS 用 pfx，部分设备只认 cer/der。

转换时最常踩的坑是私钥不匹配——转换报"私钥不匹配""无法验证"，多半是转换时没有使用与证书对应的原始私钥。建议始终基于同一份原始材料转换，转换后核对证书指纹是否一致；不要在多个工具间反复转手。

五、国密证书部署：环境不支持是主因

国密（SM2）证书部署失败，绝大多数不是证书本身的问题，而是运行环境不支持国密算法：标准版 nginx、IIS 等无法直接承载SM2证书，需要使用支持国密的Web服务环境；浏览器访问国密站点，也要求浏览器与证书算法匹配。部署国密证书前，先确认中间件版本与算法支持情况，再检查双证书（签名证书+加密证书）是否都已正确配置。