浏览器弹出一行白底黑字：“您的证书连接不是私密连接，攻击者可能试图窃取您的风险信息。”下面只有一行灰色小字——NET::ERR_CERT_DATE_INVALID。开网昨天还能打开的证书网站，今天就被拦在门外。风险这不是开网网站挂了，是证书证书出了问题。

很多人第一反应是风险点“继续前往”。Chrome把那个按钮藏得很深，开网要先点“高级”，证书再点“继续前往（不安全）”。风险能进去，开网但地址栏会挂一个红色三角，证书像贴了张罚单。风险我见过一个做外贸的开网客户，后台打不开，急得重启路由器、换DNS、清缓存，折腾一上午。最后发现是SSL证书昨天到期，续费后一切正常。他问我：证书过期为什么不能像域名一样自动续？能，但得配置。多数中小网站没配。

证书风险导致网页打不开，分几种情况。最典型的是证书过期。Let's Encrypt签的免费证书有效期90天，官方推荐用脚本自动续期，比如certbot。但脚本会挂——服务器时间不对、验证文件被删、防火墙改了规则，任何一环出问题，续期就失败。失败不报警，等到期那天浏览器直接拦截。我自己的博客就中过招，因为服务器NTP服务停了，时间偏差超过几分钟，ACME验证直接拒绝。查日志才发现，已经静默失败了三次。

另一种是证书域名不匹配。你访问 a.example.com，证书只签了 b.example.com。浏览器不认。常见于内部系统，IT图省事，一张证书到处部署。或者CDN回源时Host头没带对，边缘节点拿到的证书和用户请求的域名对不上。这种错误在控制台里看是“证书名称不匹配”，用户端只看到打不开。

还有自签名证书。开发环境用没事，生产环境用就是给自己挖坑。浏览器不信任自签CA，除非手动导入根证书。但手动导入这件事，对普通用户来说门槛太高。我见过一个后台管理系统，运维图快，直接上了自签证书。结果销售在外地见客户，用酒店WiFi演示，浏览器红屏，当场尴尬。后来换成正规DV证书，十分钟的事。

证书链不完整也常见。服务器只发了叶子证书，没发中间证书。桌面浏览器有时能靠AIA机制自动补全，但手机浏览器和某些API客户端不行。表现就是电脑能开，手机打不开。用SSL Labs测一下，评级里会标“证书链不完整”。修复很简单，把中间证书拼进fullchain.pem。

遇到打不开，别急着骂网络。先看浏览器报错代码。ERR_CERT_DATE_INVALID是过期，ERR_CERT_COMMON_NAME_INVALID是域名不对，ERR_CERT_AUTHORITY_INVALID是自签或根证书不受信。然后点开证书详情，看颁发者、有效期、使用者。再用在线工具查，比如myssl.com或ssllabs.com。多数问题五分钟内能定位。

临时绕过有风险。点“继续前往”意味着你接受中间人攻击的可能。公共WiFi下尤其危险。正确做法是联系网站管理员，或者自己动手修。如果是自己的服务器，检查系统时间、证书路径、中间证书、自动续期任务。别等用户投诉才处理。证书这东西，平时没人注意，一出问题就是全站不可用。

最后说一句：HTTPS不是万能，但没HTTPS万万不能。证书是那把钥匙，钥匙坏了，门就打不开。定期检查，设好提醒，比出事再救火省心得多。