ssl证书

OpenSSL报certificate chain too long：error 22与verify_depth深度排查证书没过期，根也配对了，OpenSSL却报certificate chain too long。别急着从fullchain里删一张证书：可能不是文件太大，而是验证端允许的中间CA层数不够。本文用隔离证书链复现error 22，说明verify_depth怎样计数，以及它和CA证书里的pathlen为什么不能互相代替。

2026 年证书寿命 398→200 天：一张到期项台账的字段设计与自动化边界2026 年 3 月 15 日，CA/B 论坛的 SC-081v3 决议正式生效。公开可信 TLS 证书的单张最大有效期，从 398 天压缩到 200 天。

OpenSSL读取加密私钥报bad decrypt：passin与口令来源排查证书文件能打开，加密私钥却报bad decrypt；手工运行会询问口令，放进定时任务又失败。先别急着重签证书：问题可能发生在私钥解密之前，还没走到TLS握手。本文用隔离RSA样本拆开文件读取、口令来源、密钥检查和证书配对，不输出私钥，也不把口令塞进命令行。

OpenSSL报CA signature digest algorithm too weak：error 68与签名摘要排查证书没过期，RSA公钥也有2048位，OpenSSL却报CA signature digest algorithm too weak。先别继续加长密钥：这个错误盯的是证书签名摘要，不是单看公钥位数。本文用隔离证书复现error 68，区分签名算法、证书指纹与安全等级，再给出重新签发和验收路径。

curl报91 No OCSP response received：cert-status与OCSP装订排查普通curl请求成功，一加--cert-status就报91，错误写着No OCSP response received。这不等于证书过期，也不能直接认定证书已被吊销。本文用回环TLS实验拆开常规证书验证与OCSP装订检查，比较缺失、good和revoked响应，最后给出不会把诊断结果当验收的命令。

OpenSSL报self-signed certificate in certificate chain：error 19与信任根排查服务器明明把根证书也发出来了，OpenSSL却报self-signed certificate in certificate chain，curl仍然不信任。这里容易把“链里有根”与“客户端信任根”混成一件事。本文用临时私有CA和回环HTTPS对照，定位error 19，并解释为什么删掉服务端根证书后，错误文字变了，问题却没修好。

curl报58 unable to set private key file：客户端证书与私钥加载排查curl访问双向TLS接口，刚加上客户端证书就报58，错误里还写着unable to set private key file。先别去换服务器的fullchain：这次出问题的可能是curl本机的身份材料。本文用回环mTLS实验，把文件读取、格式解析、密钥配对与请求验收拆开；不把“证书能打开”当作“接口能调用”。

OpenSSL报certificate is not yet valid：error 9与notBefore时间排查刚换的新证书，notAfter明明还很远，却提示“证书尚未生效”。先别把它当“过期”处理：这次要查的是生效起点notBefore，以及验证端用来比较的时间。本文用离线证书链复现error 9，分清叶证书、中间CA和客户端时钟，不修改系统时间，也不关闭有效期校验。

curl用IP测试HTTPS报证书不匹配：--resolve与Host头别混用切换DNS前用IP测试HTTPS，补Host头仍报证书不匹配？命令可能换掉了“要验证谁”。本文用回环实验拆开连接地址、TLS身份和HTTP路由，验证--resolve与--connect-to。

OpenSSL verify报unable to get issuer certificate：error 2与partial_chain排查中间证书明明放进了CA文件，OpenSSL却报unable to get issuer certificate。补了链还不行，是证书坏了，还是信任放错了位置？本文以error 2为入口，区分“提供建链材料”和“指定信任锚”，再判断是否真的应该使用-partial_chain。

OpenSSL verify报unhandled critical extension：error 34与关键扩展排查HTTPS证书域名没错、链也补齐了，OpenSSL verify却报unhandled critical extension。先别继续下载根证书：这次要查的是某层证书里的关键扩展，验证程序能不能理解并执行它。本文从error 34和depth入手，定位扩展、核对签发模板，再保持正常验证策略验收。

OpenSSL verify报CA certificate key too weak：auth_level与弱密钥链排查证书链齐全、域名也对，OpenSSL verify却报CA certificate key too weak。问题可能不是缺链，而是某层公钥强度达不到验证策略。本文用auth_level固定门槛，分清叶子与CA弱密钥，再换对应材料，不把安全等级往下拧。

Nginx加载证书时报SSL_CTX_use_PrivateKey_file失败：私钥配对与权限排查Nginx 换证书后启动失败，日志里出现 SSL_CTX_use_PrivateKey_file、key values mismatch 或 PEM_read_bio_PrivateKey，很多人第一反应是“证书文件坏了”。其实这几类报错可能分别对应证书与私钥不配对、路径权限不足、PEM 格式不完整或私钥仍加密。本文不改生产文件，按“材料配对—文件可读—配置加载—公网终点”四层排查，避免一上来就 reload，最后把锅甩给 Nginx。

OpenSSL verify报invalid CA certificate：basicConstraints与keyCertSign排查中间证书文件明明在，OpenSSL verify却报invalid CA certificate，有时紧跟着key usage does not include certificate signing。先别忙着再拼一份fullchain：找到签发者，不等于它有资格签证书。这里从basicConstraints和keyUsage入手，区分缺链、CA资格和用途限制，最后给出可留档的验证方式。

OpenSSL verify报error 62：证书主机名不匹配与-verify_hostname排查证书链已经显示OK，加上主机名却报 error 62: hostname mismatch，先别急着重签。链信任回答“谁签的、是否可信”，名称验证回答“是不是我要访问的服务”。下面用OpenSSL 1.1.1的参数把这两件事拆开，再检查SNI选证书和Shell退出码。能连上，不等于找对了人。

OpenSSL verify报certificate signature failure：error 7与证书签名排查证书能被OpenSSL读出来，域名和有效期也像是对的，执行verify却报certificate signature failure。这时别急着补SAN，也别把证书塞进信任库碰运气。error 7关注的是证书签名验证，不是“文件长得像证书”就能过关。本文按错误深度、签发者材料、文件一致性和复验四步排查。

ACME DNS-01报NXDOMAIN：_acme-challenge记录与权威DNS排查申请通配符或多域名证书时，ACME DNS-01常见的第一句报错就是 NXDOMAIN。它不是“TXT值不对”的同义词，而是查询链路里连这个名字都没有找到。先把重试按钮放一边：查错名称，重试只是在给DNS服务器增加心理负担。本文把验证域名、CNAME委托、权威NS、TXT传播和DNSSEC拆开，定位到哪一层再修哪一层。

OpenSSL报path length constraint exceeded：CA层级与pathlen排查根证书已信任，中间证书也补齐了，执行验证却报 path length constraint exceeded。这次不一定是“少了一张”，也可能是链的层级超出了CA证书允许的范围。下面用OpenSSL的error 25定位出错CA，再区分证书里的pathlen和客户端的深度限制，避免修错开关。

OpenSSL s_client退出码为0却证书验证失败：严格校验与Shell管道排查用 openssl s_client 连 HTTPS，打印了证书和 Cipher，退出码也为 0，可浏览器仍报不信任。诊断工具愿意继续握手，不等于证书通过验收。本文拆开身份验证与 Shell 退出码，给出可执行检查方法。

OpenSSL报permitted subtree violation：证书SAN与CA名称约束排查HTTPS叶证书没过期，SAN也包含访问域名，OpenSSL却报 permitted subtree violation。别急着重装根证书：这可能是CA证书的名称约束拒绝了下级名称。下面区分“访问名能否匹配”和“这条链能否为这些名称背书”，再用error 47、48和离线命令定位。