ssl证书

Certbot webroot申请SSL证书总是404：Nginx挑战目录与路径映射检查首页能打开，Certbot的HTTP-01挑战地址却404。先别重装客户端：网页由谁响应、文件写到哪里，可能不是同一条路。本文聚焦Nginx配合webroot申请SSL证书的路径预检。

Git访问HTTPS证书不受信任：用URL级sslCAInfo限定私有CA范围Git拉取私有HTTPS仓库时报证书不受信任，浏览器却能打开，先别急着把sslVerify关掉。浏览器与Git可能走不同的信任库；为了一个仓库改全局CA，也可能让其他仓库突然报错。这里把问题缩小到一个可验证的目标：让指定URL命中预期的CA文件配置，同时保留证书验证。

curl指定--tlsv1.2仍连接TLS1.3：最低版本与tls-max排查给curl加上--tlsv1.2，日志却显示SSL connection using TLSv1.3，是参数没生效吗？先别换证书。这个选项通常是在设最低版本，不是把协议锁死到1.2。下面用隔离HTTPS对照，把版本范围、握手失败和证书验证拆开。

curl访问HTTPS报47 Too many redirects：重定向循环与max-redirs排查访问 HTTPS 下载入口，curl 加上 -L 后反而报“curl: (47) Maximum (2) redirects followed”。这时先别换证书，更别加 -k。47 指向重定向次数上限：可能是入口来回兜圈，也可能只是正常链条超过了你设置的预算。下面用隔离实验，把跳转、TLS 验证和最终文件验收拆开。

curl下载HTTPS正文是乱码：--compressed与Content-Encoding分层排查curl访问HTTPS时退出码为0，证书也没有报错，但保存的文本打开全是乱码。先别急着改证书，更不要加关闭验证的选项。它可能只是服务器返回了gzip编码的数据，而当前命令没有解码。TLS负责连接身份与传输保护，不替你判断文件是不是可直接阅读的业务正文。

curl下载HTTPS文件报23：证书验证成功与本地写入失败分层排查curl访问HTTPS地址，证书验证正常，最后却报“curl: (23) Failed writing received data”。先查输出路径，勿重签证书。下面用隔离实验拆开TLS、HTTP与写入验收。

curl访问HTTPS返回304却没有正文：条件请求、缓存与证书验收排查用curl检查HTTPS接口，退出码是0，响应状态却是304，下载文件没有新内容。别重签证书，也别用空文件覆盖旧产物。回环实验分开TLS、HTTP与文件验收。浏览器缓存与curl下载不是一回事。

curl -I检查HTTPS返回405：HEAD、GET与证书验收分层排查curl -I检查HTTPS地址，返回405 Method Not Allowed；浏览器打开同一路径却正常。先别重签证书：-I发的是HEAD，不是“把GET正文藏起来”。下面用隔离对照拆开TLS身份、HTTP方法与健康检查。

OpenSSL的checkhost显示不匹配却退出0：名称检查与证书验收openssl x509 -checkhost已经打印does NOT match certificate，脚本却继续部署，难道Shell没看见错误？这里有个容易踩的边界：命令成功执行了名称诊断，不等于名称匹配。本轮在OpenSSL 1.1.1k上重现了“不匹配但退出0”，下面把诊断输出、证书验证和线上握手分开，不让一张错误证书混过流水线。

OpenSSL的showcerts没有根证书正常吗：服务端发链与show_chain构链排查s_client -showcerts只看到两张证书，verify -show_chain却显示三层，是服务器漏发了根证书吗？先别往fullchain里不断追加文件。这两个选项看的不是同一件事：一个列出对端发来的材料，一个展示本地验证构建出的路径。本文用隔离三层证书链，把“收到”“构链”“信任”拆开。

curl访问HTTPS报28 Operation timed out：连接超时与总超时分层排查HTTPS检查突然报curl: (28) Operation timed out，日志前面却写着Connected。证书刚换过，很容易顺手把锅甩给它。但TCP接通不是TLS握手完成，TLS完成也不是HTTP响应到齐。先找出超时发生在哪一段，再决定查网络、握手还是应用，别让重签证书变成安慰剂。

SSL证书指纹相同但文件哈希不同：PEM、DER与公钥摘要怎么比收到两份SSL证书文件，文件SHA-256不同，OpenSSL显示的证书指纹却相同：到底是传输损坏，还是比较方式错了？先别急着重签。我会先问一句：你比的是文件、证书，还是公钥？三者都能算摘要，但不是同一张身份证。

OpenSSL指定-cipher仍协商TLS1.3：证书排查中的套件与协议边界用OpenSSL排查HTTPS证书，明明指定了ECDSA套件，结果却协商TLS1.3、拿到RSA证书。先别判定Nginx配置没生效：-cipher只管TLS1.2及以下，不能拿它给TLS1.3划范围。下面把协议、套件、认证和验证拆开，避免拿错尺子量证书。

curl设置SSL_CERT_FILE仍报60：CURL_CA_BUNDLE与CA路径优先级排查明明设置了 SSL_CERT_FILE，curl 却继续报“SSL certificate problem: unable to get local issuer certificate”。先别急着换服务器证书：文件放对了，不代表这次进程选中了它。本文把 CA 文件、环境变量和默认配置拆开，用回环 HTTPS 对照定位“配置没生效”，不靠 -k 把报警灯摘掉。

OpenSSL报certificate rejected：error 28与CA辅助信任属性排查根证书已经放进CAfile，证书没过期，OpenSSL却报certificate rejected。先别急着下载另一份fullchain：这里的rejected不等于revoked。前者可能是本地信任材料明确拒绝某种用途，后者才是吊销检查的结果。本文用隔离证书区分error 28、辅助信任属性和证书本体。

OpenSSL报certificate revoked：error 23与CRL吊销层级排查证书还没过期，域名也对，OpenSSL却报certificate revoked。先别急着补fullchain：error 23指向吊销检查，不是普通的缺链。本文用隔离根CA、中间CA和叶证书，复现叶子与中间证书被吊销的差异，再把序列号、CRL来源和部署验收串起来。

curl走HTTPS代理报SSL证书错误：proxy-cacert与cacert双层信任排查直连HTTPS正常，一加代理就报curl: (60) SSL certificate problem；明明传了--cacert，错误却没消失。先别急着把证书全塞进一个文件：如果代理地址以https://开头，这条请求可能先后验证代理和目标站两张证书。本文用双CA实验区分信任与CONNECT边界。

OpenSSL报certificate chain too long：error 22与verify_depth深度排查证书没过期，根也配对了，OpenSSL却报certificate chain too long。别急着从fullchain里删一张证书：可能不是文件太大，而是验证端允许的中间CA层数不够。本文用隔离证书链复现error 22，说明verify_depth怎样计数，以及它和CA证书里的pathlen为什么不能互相代替。

2026 年证书寿命 398→200 天：一张到期项台账的字段设计与自动化边界2026 年 3 月 15 日，CA/B 论坛的 SC-081v3 决议正式生效。公开可信 TLS 证书的单张最大有效期，从 398 天压缩到 200 天。

OpenSSL读取加密私钥报bad decrypt：passin与口令来源排查证书文件能打开，加密私钥却报bad decrypt；手工运行会询问口令，放进定时任务又失败。先别急着重签证书：问题可能发生在私钥解密之前，还没走到TLS握手。本文用隔离RSA样本拆开文件读取、口令来源、密钥检查和证书配对，不输出私钥，也不把口令塞进命令行。