HTTPS 证书类型与常见错误速查

1三类证书：验证强度不同，加密强度相同

DV、OV、EV 的区别只在「CA 验证了你的什么」，与加密算法的强度无关。三者的 TLS 加密效果完全一样。

浏览器地址栏的「绿色公司名」早已取消：主流浏览器从 2019 年前后不再为 EV 证书做特殊展示，只保留常规的锁形图标。所以现在选 EV 的理由是合规与审核留痕，而不是「看起来更安全」。

2覆盖范围：单域名、通配符、多域名

证书的覆盖范围写在它的 SAN（Subject Alternative Name）字段里，与证书类型是两个独立维度——免费证书同样可以覆盖多个域名。

3证书链：为什么「电脑能开、手机打不开」

证书不是孤立的，而是一条链：服务器证书 → 中间证书 → 根证书。服务器必须把前两者一起下发，根证书则预装在各系统的信任库里。缺了中间证书，就出现这台设备能开、那台设备打不开的现象。

链的构成

根证书（系统内置，几百个）→ 中间证书（CA 的中转签发者）→ 服务器证书（你的域名）

服务器要发什么

服务器证书 + 全部中间证书，按顺序拼成一个文件下发；根证书不用发，客户端自己就有

缺中间证书的典型症状

桌面 Chrome 正常（它会自动补齐缺失的中间证书），但 Android、部分 Java 客户端、命令行工具报「证书链不完整」。这是「电脑能开手机不能开」最常见的原因

排查方式

用在线 SSL 检测工具或 openssl s_client -connect 域名:443 -showcerts 看返回了几张证书，是否包含中间证书

有效期上限

公开信任的 TLS 证书有效期上限自 2020-09-01 起为 398 天；行业内已通过分阶段缩短的决议，实际上限请以 CA/Browser Forum 的最新公告为准

免费证书

Let’s Encrypt 等提供 90 天有效期的免费 DV 证书，配合自动续期脚本完全可用；短有效期带来的唯一要求是「续期必须自动化」

4六类浏览器证书报错对照

报错信息本身就是最好的诊断线索。注意区分「时间问题」「名字问题」「链条问题」三族。

5TLS 1.2 与 TLS 1.3 的差别

版本差异主要体现在握手往返次数与加密套件的取舍上。对企业站而言，更需要注意的是「还开着老版本协议」这件事本身带来的合规与兼容风险。

TLS 1.0 与 1.1 已由 RFC 8996 正式弃用，主流浏览器也早已停止支持。仍在启用的老协议不仅没有安全收益，还可能触发合规检查不通过——升级时优先确认这一点，而不是纠结套件细节。