速查表 · 错误码
SSL 错误码速查：ERR_CERT_* 全解与去向
不用研究每个码：先看前缀分方向，再用高频 6 码对号入座，最后按「去向」那列动手。文末是给技术同事和智能体的取证小抄。
本文目录 · 8 节
先说结论
- 先看前缀分方向：ERR_CERT_* 开头是证书问题（红屏），ERR_CONNECTION_* / DNS_* 开头是域名、端口或服务器问题（打不开），长得像 Cloudflare 的错误页是源站问题。
- 高频 6 码覆盖绝大多数红屏：DATE_INVALID 过期、AUTHORITY_INVALID 不受信任、COMMON_NAME_INVALID 域名不匹配、REVOKED 被吊销、INVALID 无效、WEAK_SIGNATURE_ALGORITHM 弱算法。
- 每个码都有「含义 + 常见诱因 + 去向链接」，照着表找到那一条就能动手；别因为一个错误码就去买证书，绝大多数故障免费证书就能修。
- 取证三件套：错误码、截图、时间；再用 curl 与 openssl 两条只读命令核对证书的签发者、覆盖域名和到期日，确认方向后再动手。
🤖 把这篇交给你的 AI 智能体
复制后粘贴给你常用的 AI 智能体（豆包、ChatGPT、Claude、Codex 等），它会按同样的步骤带你做完，并在每一步改动前先征求你的同意。不要把密码、密钥发到对话里。
查看将要复制的提示词
错误码在哪看（先学会取证）
浏览器把「哪里坏了」浓缩成了一行错误码。看到它之前，先知道去哪找：
| 场景 | 在哪看 | 看到的样子 |
|---|---|---|
| 整页红屏 | 红屏页面下方的小字，或点「高级 / 详细信息」展开 | NET::ERR_CERT_DATE_INVALID 这类全大写的代码 |
| 页面能开但有异常 | F12（Mac：Option + Command + I）→ Console / Network | 资源加载失败、Mixed Content 提示 |
| 没有浏览器、只有命令行 | 见文末「取证小抄」的两条命令 | SSL certificate problem: certificate has expired 这类报错 |
高频 6 码：红屏类（证书问题）
| 错误码 | 含义 | 常见诱因 | 严重度 | 第一件事（去向） |
|---|---|---|---|---|
ERR_CERT_DATE_INVALID | 证书已过期（或访客设备时间错乱） | 自动续期没生效，90 天有效期到了 | 红屏，可绕过；有 HSTS 则不可绕过 | 按证书过期 5 分钟应急立即续期 |
ERR_CERT_AUTHORITY_INVALID | 证书不被浏览器信任 | 自签名证书、测试证书；Cloudflare 源证书被直接访问（灰色云朵/暂停代理） | 红屏，可绕过 | 换成受信任机构签发的免费证书，见「不安全」的 6 种原因 |
ERR_CERT_COMMON_NAME_INVALID | 证书里的域名与访问的域名对不上 | 证书只含 www、访问的是裸域名（或反过来）；服务器上访问到了别的站点的证书 | 红屏；有 HSTS 则不可绕过 | 重新签发时把根域名和 www 都加上，见「不安全」的 6 种原因 |
ERR_CERT_REVOKED | 证书已被签发机构吊销 | 证书私钥泄露或违规使用，CA 主动作废了它 | 红屏 | 不能「修复」旧证书，直接重新签发一张，见完全指南 |
ERR_CERT_INVALID | 证书本身无效 | 自制证书、格式或内容不合规、安装时文件装错 | 红屏，通常不可绕过 | 按「不安全」的 6 种原因逐项对照后重新申请 |
ERR_CERT_WEAK_SIGNATURE_ALGORITHM | 证书用的签名算法太弱（如 SHA-1） | 多年前签发的老证书一直没换 | 红屏 | 换新证书：现在自动续期签发的证书不会再用弱算法 |
错误码背后的「三要素检查」
浏览器拿到证书后只核对三件事，任何一条不过就红屏、并给出对应的码：
| 浏览器检查什么 | 不过时给什么码 | 通俗解释 |
|---|---|---|
| 证书在有效期内 | ERR_CERT_DATE_INVALID | 「这张证过期了」 |
| 由受信任的机构签发 | ERR_CERT_AUTHORITY_INVALID | 「我不认识发证的人」（自签名、测试证书都在这类） |
| 证书域名与访问域名一致 | ERR_CERT_COMMON_NAME_INVALID | 「这张证不是给这个域名的」 |
还有两个「伴随症状」要记住：叠加 HSTS 时红屏上不会出现「继续访问」按钮，只能先把证书修对；证书链不完整（少装中间证书）时常常电脑正常、部分安卓手机报错，红屏上可能只写「证书不可信」。
少见但会遇到的证书错误码
| 错误码 | 含义 | 常见诱因 | 去向 |
|---|---|---|---|
ERR_CERT_VALIDITY_TOO_LONG | 证书有效期超过浏览器允许的上限 | 用了多年前签发的「一年/多年期」证书 | 换用自动续期签发的新证书，见完全指南 |
ERR_CERT_WEAK_KEY | 证书公钥太弱（如密钥位数过小） | 老旧证书、老设备上生成的证书 | 重新签发；续期时默认生成的就是合格密钥 |
ERR_CERT_SYMANTEC_LEGACY | 用了已被浏览器淘汰的旧 Symantec 体系证书 | 历史遗留的老证书一直没换 | 换新证书，见完全指南 |
ERR_CERTIFICATE_TRANSPARENCY_REQUIRED | 证书缺少「证书透明度（CT）」记录 | 非公开信任体系签发的证书、部分自制证书 | 换成公开受信任的免费证书，见「不安全」的 6 种原因 |
ERR_CERT_NAME_CONSTRAINT_VIOLATION | 证书违反了签发者的名称约束 | 企业内网、私有 CA 场景；证书用在了不被允许的域名上 | 按域名重新签发正确的证书，见完全指南 |
ERR_CERT_NO_REVOCATION_MECHANISM / ERR_CERT_UNABLE_TO_CHECK_REVOCATION | 无法检查证书的吊销状态 | 开启了严格吊销检查的设备，网络又访问不到吊销查询服务 | 先换网络重试；仍报错就重新签发，见「不安全」的 6 种原因 |
ERR_CERT_NON_UNIQUE_NAME / ERR_CERT_KNOWN_INTERCEPTION_BLOCKED 等 | 证书名称不唯一 / 证书来自已知的拦截体系 | 极罕见，多出现在装了代理或私有证书的企业内网环境 | 换成公开受信任机构签发的免费证书，见完全指南 |
打不开类（不是证书错误，但经常一起出现）
| 错误码 | 含义 | 常见诱因 | 去向 |
|---|---|---|---|
ERR_CONNECTION_REFUSED | 443 端口关闭 / 服务没运行 | 网页软件停了、443 没放行 | 启动服务、放行 443，见故障实景演示 |
ERR_CONNECTION_TIMED_OUT | 连接超时 | 服务器宕机、防火墙丢包、IP 被封 | 先确认服务器活着，见故障实景演示 |
DNS_PROBE_FINISHED_NXDOMAIN | 域名解析不到任何服务器 | 域名过期没续费、解析记录被删 | 查域名到期日、核对 A / AAAA 记录，见故障实景演示 |
ERR_TOO_MANY_REDIRECTS | 重定向死循环 | Cloudflare 用 Flexible、源站又强制跳 https；多处重复跳转 | Cloudflare 改 Full / Full (strict)，只保留一处跳转，见Cloudflare 路线 |
Cloudflare 错误页（长这样的是它，不是浏览器）
| 错误页 | 含义 | 常见诱因 | 去向 |
|---|---|---|---|
| Error 526 | Invalid SSL certificate | Full (strict) 模式下，源站证书无效 / 过期 / 域名不符 | 给源站装有效证书，或临时改为 Full，见Cloudflare 路线 |
| Error 525 | SSL handshake failed | 源站 443 没开 SSL、握手被拒 | 源站配置 443 证书，见Cloudflare 路线 |
| Error 521 | Web server is down | 源站宕机，或拦截了 Cloudflare 的请求 | 检查源站状态与防火墙放行，见Cloudflare 路线 |
把错误码变成行动（三步决策）
- 1. 看前缀：
ERR_CERT_*开头 = 证书问题（红屏）；ERR_CONNECTION_*/DNS_*开头 = 域名、端口或服务器问题（打不开）；页面长得像 Cloudflare 的错误页 = 源站问题。 - 2. 红屏再看一层：有「继续访问」按钮 → 过期/自签名/域名不匹配（去证书过期应急或六种原因）；没有按钮 → 叠加了 HSTS，只能先把证书修对。
- 3. 动手前取证：把错误码、截图、时间发给你信任的技术同事，或复制本页给 AI 智能体，让它按码定位。
取证小抄（给技术同事 / AI 智能体）
curl -vI https://你的域名 2>&1 | grep -E "subject|date|issuer|verify|HTTP/"看四行：subject（证书发给谁）、date（起止日期）、issuer（谁签发的）、verify（校验是否通过）。证书过期时会直接报 SSL certificate problem: certificate has expired。
echo | openssl s_client -connect 你的域名:443 -servername 你的域名 2>/dev/null | openssl x509 -noout -subject -issuer -datesnotAfter 是到期时间（GMT，北京时间加 8 小时）。两条命令都是只读的，不改任何东西，放心跑。
相关速查与下一步
- 红屏，写着「过期」或
ERR_CERT_DATE_INVALID：证书过期 5 分钟应急； - 地址栏「不安全」但没有红屏：「不安全」的 6 种原因与排查；
- 图片不显示、表单点不动：混合内容修复；
- 四种故障的真实截图与 30 秒自查：四种 SSL 故障实景演示；
- 不知道自己网站属于哪一档：先做一次免费的 HTTPS 体检；
- 不想自己排查：把部署、监控、自动续期与失效应急一起交出去，见 SSL 证书终身维护服务（600 元/域名 · 长期统一价）；也可以先预约 30 分钟诊断。
答疑
常见问题
红屏上的错误码在哪找？
整页红色警告的下方一般就有小字写着错误码，没有的话点「高级」或「详细信息」展开。也可以按 F12 打开开发者工具，在 Console 或 Network 里看到同一行代码。找不到就截图发给技术同事或 AI 智能体，它能从截图里读出来。
ERR_CERT_DATE_INVALID 是什么意思？
证书已过期。这是最常见的证书故障，先按证书过期应急的步骤续期恢复访问，再排查自动续期为什么没生效：定时任务、80 端口、CDN 或 301 拦截、面板续签开关。极少数情况是访客设备时间错乱，换一台设备就能排除。
同一个网站，为什么不同人看到的错误码不一样？
正常。错误码取决于每个人到达网站的路径：经过 Cloudflare 的人可能看到 Cloudflare 的错误页，比如 Error 526，直连源站的人看到的是浏览器红屏；部分安卓手机对证书链更敏感，电脑正常它却报错。排查时以直连源站、用手机流量看到的结果为准。
看到 ERR_CONNECTION_REFUSED，是证书坏了吗？
不是。这个码的意思是连接被拒绝，通常是 443 端口没有服务在监听：网页软件没运行、端口没放行，或者域名解析指向的服务器不对。先确认服务状态和端口，再看证书。同类还有 ERR_CONNECTION_TIMED_OUT（连接超时，多半是服务器或网络问题）和 DNS_PROBE_FINISHED_NXDOMAIN（域名解析不到，先查域名是否过期）。
错误码会不会骗人？
错误码说的是「浏览器在哪一步失败」，不是完整诊断。比如 ERR_CERT_AUTHORITY_INVALID 既可能是自签名证书，也可能是 Cloudflare 源证书被直接访问；ERR_CERT_COMMON_NAME_INVALID 可能只是证书少了 www。用法是：先用错误码锁定方向，再用证书查看器或两条只读命令确认签发者、覆盖域名和到期日，最后才动手。
核实
资料来源与核实记录
价格、政策与版本信息均注明来源和核实日期。
| 事实 | 来源 | 核实日期 |
|---|---|---|
| Chromium 网络错误码官方列表：ERR_CERT_* 全部定义（DATE_INVALID / AUTHORITY_INVALID / COMMON_NAME_INVALID / REVOKED / INVALID 等） | Chromium 源码 net_error_list.h | 2026-10-10 |
| Cloudflare 5xx 错误页说明：Error 521（Web server is down）、525（SSL handshake failed）、526（Invalid SSL certificate） | Cloudflare Docs | 2026-10-10 |
| HSTS（Strict-Transport-Security）：证书错误叠加 HSTS 时红屏不可绕过 | MDN | 2026-10-10 |
| Let's Encrypt 频率限制（同一组域名每周 5 次签发、每小时 5 次验证失败） | letsencrypt.org | 2026-10-10 |
| 本站《SSL 部署完全指南》第 12 章：18 条故障排查表（含各错误码的处理办法） | 本站《网站 SSL 证书免费部署完全指南》 | 2026-10-10 |
| 本站《四种 SSL 故障实景演示》：错误码速查表与演示站（expired.badssl.com 等） | 本站《四种 SSL 故障实景演示》 | 2026-10-10 |
更新记录
2026-10-13 · v1.0：上线：ERR_CERT_* 高频 6 码全解表（含义 / 诱因 / 严重度 / 去向）、少见证书码与打不开类错误码、Cloudflare 错误页对照、curl 与 openssl 取证小抄。
本专题全文以 CC BY 4.0 协议开源，可转载、改编，请注明出处：GitHub · iPythoning/ssl-guide-zh
延伸
相关阅读
四种 SSL 故障实景演示
纯 HTTP、证书过期/自签名/域名不匹配、证书错误叠加 HSTS、域名或服务器失效——四种故障各配真实浏览器截图，讲清客户看到什么、错误码是什么、该往哪修，附六行错误码速查表与 30 秒自查四步。
证书过期 5 分钟应急
红屏、错误码 ERR_CERT_DATE_INVALID 就是证书过期：30 秒确认，再按你所在路线（Certbot / 宝塔 / cPanel / Cloudflare / SaaS / IIS）立即续期，三分钟验证红屏消失，最后排查自动续期为什么失效并补上到期监控。
混合内容修复
网址是 https、地址栏却写「不安全」、图片不显示、表单点不动——这是混合内容：页面里还有 http 资源。三种定位法（控制台 / 源码 / curl）、按资源类型的改法、五分钟验证清单，以及和证书问题的区分表。
交给我们
不想自己动手？
泓森互联提供 SSL 证书终身维护服务：部署、监控、自动续期与失效应急，一次购买长期有效。服务范围与价格以服务页为准；也可以先做免费体检，把情况摸清楚再决定。
留个联系方式，我们帮你看看
不确定自己的网站是什么情况？留下信息，或直接 预约诊断，我们把体检结果和修复路径说清楚。