--- title: SSL 错误码速查：ERR_CERT_* 全解与去向 url: https://www.paibaowork.com/ssl/troubleshoot/error-codes/ last_verified: 2026-10-13 version: v1.0 --- ## 错误码在哪看（先学会取证） 浏览器把「哪里坏了」浓缩成了一行错误码。看到它之前，先知道去哪找： | 场景 | 在哪看 | 看到的样子 | |---|---|---| | 整页红屏 | 红屏页面下方的小字，或点「高级 / 详细信息」展开 | `NET::ERR_CERT_DATE_INVALID` 这类全大写的代码 | | 页面能开但有异常 | `F12`（Mac：`Option + Command + I`）→ Console / Network | 资源加载失败、`Mixed Content` 提示 | | 没有浏览器、只有命令行 | 见文末「取证小抄」的两条命令 | `SSL certificate problem: certificate has expired` 这类报错 | > [!TIP] 取证三件套：错误码 + 截图 + 时间 > 把这三样记下来再动手。错误码决定「修哪一头」，截图给技术同事或 AI 智能体看，时间用来判断是不是刚发生的——很多排查白干，是因为只记住了「打不开」三个字。 ## 高频 6 码：红屏类（证书问题） | 错误码 | 含义 | 常见诱因 | 严重度 | 第一件事（去向） | |---|---|---|---|---| | `ERR_CERT_DATE_INVALID` | 证书已过期（或访客设备时间错乱） | 自动续期没生效，90 天有效期到了 | 红屏，可绕过；有 HSTS 则不可绕过 | 按[证书过期 5 分钟应急](/ssl/troubleshoot/expired/)立即续期 | | `ERR_CERT_AUTHORITY_INVALID` | 证书不被浏览器信任 | 自签名证书、测试证书；Cloudflare 源证书被直接访问（灰色云朵/暂停代理） | 红屏，可绕过 | 换成受信任机构签发的免费证书，见[「不安全」的 6 种原因](/ssl/troubleshoot/not-secure/) | | `ERR_CERT_COMMON_NAME_INVALID` | 证书里的域名与访问的域名对不上 | 证书只含 www、访问的是裸域名（或反过来）；服务器上访问到了别的站点的证书 | 红屏；有 HSTS 则不可绕过 | 重新签发时把根域名和 www 都加上，见[「不安全」的 6 种原因](/ssl/troubleshoot/not-secure/) | | `ERR_CERT_REVOKED` | 证书已被签发机构吊销 | 证书私钥泄露或违规使用，CA 主动作废了它 | 红屏 | 不能「修复」旧证书，直接重新签发一张，见[完全指南](/ssl/deploy/ssl-guide/) | | `ERR_CERT_INVALID` | 证书本身无效 | 自制证书、格式或内容不合规、安装时文件装错 | 红屏，通常不可绕过 | 按[「不安全」的 6 种原因](/ssl/troubleshoot/not-secure/)逐项对照后重新申请 | | `ERR_CERT_WEAK_SIGNATURE_ALGORITHM` | 证书用的签名算法太弱（如 SHA-1） | 多年前签发的老证书一直没换 | 红屏 | 换新证书：现在自动续期签发的证书不会再用弱算法 | > [!NOTE] 三种码对应三种「死法」 > 日期 → 续期；信任 → 换证书；名称 → 补域名。这三种覆盖了绝大多数红屏故障，实在分不清就看[四种 SSL 故障实景演示](/ssl/troubleshoot/four-failures/)，那里每种都有真实截图。 ### 错误码背后的「三要素检查」 浏览器拿到证书后只核对三件事，任何一条不过就红屏、并给出对应的码： | 浏览器检查什么 | 不过时给什么码 | 通俗解释 | |---|---|---| | 证书在有效期内 | `ERR_CERT_DATE_INVALID` | 「这张证过期了」 | | 由受信任的机构签发 | `ERR_CERT_AUTHORITY_INVALID` | 「我不认识发证的人」（自签名、测试证书都在这类） | | 证书域名与访问域名一致 | `ERR_CERT_COMMON_NAME_INVALID` | 「这张证不是给这个域名的」 | 还有两个「伴随症状」要记住：**叠加 HSTS** 时红屏上不会出现「继续访问」按钮，只能先把证书修对；**证书链不完整**（少装中间证书）时常常电脑正常、部分安卓手机报错，红屏上可能只写「证书不可信」。 ## 少见但会遇到的证书错误码 | 错误码 | 含义 | 常见诱因 | 去向 | |---|---|---|---| | `ERR_CERT_VALIDITY_TOO_LONG` | 证书有效期超过浏览器允许的上限 | 用了多年前签发的「一年/多年期」证书 | 换用自动续期签发的新证书，见[完全指南](/ssl/deploy/ssl-guide/) | | `ERR_CERT_WEAK_KEY` | 证书公钥太弱（如密钥位数过小） | 老旧证书、老设备上生成的证书 | 重新签发；续期时默认生成的就是合格密钥 | | `ERR_CERT_SYMANTEC_LEGACY` | 用了已被浏览器淘汰的旧 Symantec 体系证书 | 历史遗留的老证书一直没换 | 换新证书，见[完全指南](/ssl/deploy/ssl-guide/) | | `ERR_CERTIFICATE_TRANSPARENCY_REQUIRED` | 证书缺少「证书透明度（CT）」记录 | 非公开信任体系签发的证书、部分自制证书 | 换成公开受信任的免费证书，见[「不安全」的 6 种原因](/ssl/troubleshoot/not-secure/) | | `ERR_CERT_NAME_CONSTRAINT_VIOLATION` | 证书违反了签发者的名称约束 | 企业内网、私有 CA 场景；证书用在了不被允许的域名上 | 按域名重新签发正确的证书，见[完全指南](/ssl/deploy/ssl-guide/) | | `ERR_CERT_NO_REVOCATION_MECHANISM` / `ERR_CERT_UNABLE_TO_CHECK_REVOCATION` | 无法检查证书的吊销状态 | 开启了严格吊销检查的设备，网络又访问不到吊销查询服务 | 先换网络重试；仍报错就重新签发，见[「不安全」的 6 种原因](/ssl/troubleshoot/not-secure/) | | `ERR_CERT_NON_UNIQUE_NAME` / `ERR_CERT_KNOWN_INTERCEPTION_BLOCKED` 等 | 证书名称不唯一 / 证书来自已知的拦截体系 | 极罕见，多出现在装了代理或私有证书的企业内网环境 | 换成公开受信任机构签发的免费证书，见[完全指南](/ssl/deploy/ssl-guide/) | > [!NOTE] 这一组很少见，遇到时的共同解法 > 它们几乎都指向「这张证书太老、来源不正规或不该用在这里」——最省事的做法不是研究每个码，而是**换一张自动续期签发的免费证书**。 ## 打不开类（不是证书错误，但经常一起出现） | 错误码 | 含义 | 常见诱因 | 去向 | |---|---|---|---| | `ERR_CONNECTION_REFUSED` | 443 端口关闭 / 服务没运行 | 网页软件停了、443 没放行 | 启动服务、放行 443，见[故障实景演示](/ssl/troubleshoot/four-failures/) | | `ERR_CONNECTION_TIMED_OUT` | 连接超时 | 服务器宕机、防火墙丢包、IP 被封 | 先确认服务器活着，见[故障实景演示](/ssl/troubleshoot/four-failures/) | | `DNS_PROBE_FINISHED_NXDOMAIN` | 域名解析不到任何服务器 | 域名过期没续费、解析记录被删 | 查域名到期日、核对 A / AAAA 记录，见[故障实景演示](/ssl/troubleshoot/four-failures/) | | `ERR_TOO_MANY_REDIRECTS` | 重定向死循环 | Cloudflare 用 Flexible、源站又强制跳 https；多处重复跳转 | Cloudflare 改 Full / Full (strict)，只保留一处跳转，见[Cloudflare 路线](/ssl/deploy/cloudflare/) | ## Cloudflare 错误页（长这样的是它，不是浏览器） | 错误页 | 含义 | 常见诱因 | 去向 | |---|---|---|---| | Error 526 | Invalid SSL certificate | Full (strict) 模式下，源站证书无效 / 过期 / 域名不符 | 给源站装有效证书，或临时改为 Full，见[Cloudflare 路线](/ssl/deploy/cloudflare/) | | Error 525 | SSL handshake failed | 源站 443 没开 SSL、握手被拒 | 源站配置 443 证书，见[Cloudflare 路线](/ssl/deploy/cloudflare/) | | Error 521 | Web server is down | 源站宕机，或拦截了 Cloudflare 的请求 | 检查源站状态与防火墙放行，见[Cloudflare 路线](/ssl/deploy/cloudflare/) | ![【真实截图】证书过期：整页红屏，错误码 NET::ERR_CERT_DATE_INVALID](/ssl/images/guide/r04_expired_local.png) ![【真实截图】证书域名对不上：NET::ERR_CERT_COMMON_NAME_INVALID（公开测试站 wrong.host.badssl.com）](/ssl/images/guide/r03_wronghost.png) ![【真实截图】HSTS + 证书错误：红屏上没有「继续访问」按钮，只有「重新加载」](/ssl/images/cases/case3_hsts_nobypass.png) ## 把错误码变成行动（三步决策） 1. **看前缀**：`ERR_CERT_*` 开头 = 证书问题（红屏）；`ERR_CONNECTION_*` / `DNS_*` 开头 = 域名、端口或服务器问题（打不开）；页面长得像 Cloudflare 的错误页 = 源站问题。 2. **红屏再看一层**：有「继续访问」按钮 → 过期/自签名/域名不匹配（去[证书过期应急](/ssl/troubleshoot/expired/)或[六种原因](/ssl/troubleshoot/not-secure/)）；没有按钮 → 叠加了 HSTS，只能先把证书修对。 3. **动手前取证**：把错误码、截图、时间发给你信任的技术同事，或复制本页给 AI 智能体，让它按码定位。 > [!WARNING] 三个别做的事 > ① 别因为一个错误码就买证书——绝大多数故障用免费证书就能修；② 别反复刷新同一个坏站点——先取证再动手，重复访问还会撞上 Let's Encrypt 的频率限制（同一组域名每周 5 次签发、每小时 5 次验证失败）；③ 别一边改一边删——每做一个大动作，就多出一个可能的原因。 ## 取证小抄（给技术同事 / AI 智能体） ```bash curl -vI https://你的域名 2>&1 | grep -E "subject|date|issuer|verify|HTTP/" ``` 看四行：`subject`（证书发给谁）、`date`（起止日期）、`issuer`（谁签发的）、`verify`（校验是否通过）。证书过期时会直接报 `SSL certificate problem: certificate has expired`。 ```bash echo | openssl s_client -connect 你的域名:443 -servername 你的域名 2>/dev/null | openssl x509 -noout -subject -issuer -dates ``` `notAfter` 是到期时间（GMT，北京时间加 8 小时）。两条命令都是只读的，不改任何东西，放心跑。 ## 相关速查与下一步 - 红屏，写着「过期」或 `ERR_CERT_DATE_INVALID`：[证书过期 5 分钟应急](/ssl/troubleshoot/expired/)； - 地址栏「不安全」但没有红屏：[「不安全」的 6 种原因与排查](/ssl/troubleshoot/not-secure/)； - 图片不显示、表单点不动：[混合内容修复](/ssl/troubleshoot/mixed-content/)； - 四种故障的真实截图与 30 秒自查：[四种 SSL 故障实景演示](/ssl/troubleshoot/four-failures/)； - 不知道自己网站属于哪一档：先做一次免费的 [HTTPS 体检](/tools/ssl-check/)； - 不想自己排查：把部署、监控、自动续期与失效应急一起交出去，见 [SSL 证书终身维护服务](/services/ssl-maintenance/)（600 元/域名 · 长期统一价）；也可以先[预约 30 分钟诊断](/booking)。 ## 常见问题 ### 红屏上的错误码在哪找？ 整页红色警告的下方一般就有小字写着错误码，没有的话点「高级」或「详细信息」展开。也可以按 F12 打开开发者工具，在 Console 或 Network 里看到同一行代码。找不到就截图发给技术同事或 AI 智能体，它能从截图里读出来。 ### ERR_CERT_DATE_INVALID 是什么意思？ 证书已过期。这是最常见的证书故障，先按证书过期应急的步骤续期恢复访问，再排查自动续期为什么没生效：定时任务、80 端口、CDN 或 301 拦截、面板续签开关。极少数情况是访客设备时间错乱，换一台设备就能排除。 ### 同一个网站，为什么不同人看到的错误码不一样？ 正常。错误码取决于每个人到达网站的路径：经过 Cloudflare 的人可能看到 Cloudflare 的错误页，比如 Error 526，直连源站的人看到的是浏览器红屏；部分安卓手机对证书链更敏感，电脑正常它却报错。排查时以直连源站、用手机流量看到的结果为准。 ### 看到 ERR_CONNECTION_REFUSED，是证书坏了吗？ 不是。这个码的意思是连接被拒绝，通常是 443 端口没有服务在监听：网页软件没运行、端口没放行，或者域名解析指向的服务器不对。先确认服务状态和端口，再看证书。同类还有 ERR_CONNECTION_TIMED_OUT（连接超时，多半是服务器或网络问题）和 DNS_PROBE_FINISHED_NXDOMAIN（域名解析不到，先查域名是否过期）。 ### 错误码会不会骗人？ 错误码说的是「浏览器在哪一步失败」，不是完整诊断。比如 ERR_CERT_AUTHORITY_INVALID 既可能是自签名证书，也可能是 Cloudflare 源证书被直接访问；ERR_CERT_COMMON_NAME_INVALID 可能只是证书少了 www。用法是：先用错误码锁定方向，再用证书查看器或两条只读命令确认签发者、覆盖域名和到期日，最后才动手。 ## 资料来源与核实记录 | 事实 | 来源 | 核实日期 | |---|---|---| | Chromium 网络错误码官方列表：ERR_CERT_* 全部定义（DATE_INVALID / AUTHORITY_INVALID / COMMON_NAME_INVALID / REVOKED / INVALID 等） | https://chromium.googlesource.com/chromium/src/+/main/net/base/net_error_list.h | 2026-10-10 | | Cloudflare 5xx 错误页说明：Error 521（Web server is down）、525（SSL handshake failed）、526（Invalid SSL certificate） | https://developers.cloudflare.com/support/troubleshooting/http-status-codes/cloudflare-5xx-errors/ | 2026-10-10 | | HSTS（Strict-Transport-Security）：证书错误叠加 HSTS 时红屏不可绕过 | https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security | 2026-10-10 | | Let's Encrypt 频率限制（同一组域名每周 5 次签发、每小时 5 次验证失败） | https://letsencrypt.org/docs/rate-limits/ | 2026-10-10 | | 本站《SSL 部署完全指南》第 12 章：18 条故障排查表（含各错误码的处理办法） | https://www.paibaowork.com/ssl/deploy/ssl-guide/ | 2026-10-10 | | 本站《四种 SSL 故障实景演示》：错误码速查表与演示站（expired.badssl.com 等） | https://www.paibaowork.com/ssl/troubleshoot/four-failures/ | 2026-10-10 | ## 更新记录 - 2026-10-13 · v1.0：上线：ERR_CERT_* 高频 6 码全解表（含义 / 诱因 / 严重度 / 去向）、少见证书码与打不开类错误码、Cloudflare 错误页对照、curl 与 openssl 取证小抄。