「证书无效」是运维值班最常见的一类告警，但背后原因五花八门。这篇整理一套快速定位流程。

先看链

服务端没下发中间证书是最常见的原因：浏览器能过是因为缓存了中间证书，命令行工具却直接失败。用 openssl 查看实际下发的链即可确认。

再看时间

客户端时钟漂移会让还没生效或已过期的证书报错方向反转，容器环境尤其常见。

最后看名字

证书里的 SAN 列表必须覆盖访问的主机名，通配符只匹配一层子域名。