## 症状现象
网站换了新证书，多数浏览器访问正常，部分用户反馈证书告警：安卓旧机型、某些桌面浏览器、Java 客户端报证书不可信。证书明明是正规签发，检测工具却提示链不完整。现象的平台差异是最大线索。
## 定位过程
证书信任是一条链：终端持有根证书，网站证书由中间证书签发，中间证书再由根签发。浏览器会做补全兜底，部分客户端不会，服务端只发叶子证书不发中间证书时，不会补全的那部分用户就断了链。诊断用命令行直连，看服务端实际下发了几张证书：输出里只有一张叶子证书、没有中间证书的，即链不完整。
openssl s_client -connect example.com:443 -servername example.com -showcerts
输出里证书链部分只有一段 BEGIN 块，就是服务端少发了；两段以上且顺序叶子在前，则链完整，问题另找。
## 解决方法
修复方式是把中间证书补进服务端配置：部署文件用完整链文件，叶子证书在前、中间证书依次在后，重载 Web 服务生效。证书供应商的下载页通常分单证书与完整链两种文件，取完整链的那个。负载均衡与 CDN 类接入也要检查对应证书配置项是否同样上传了完整链，任何一层只配了叶子证书都会复现问题。
## 预防建议
证书部署列入变更清单：部署后用命令行验证链完整，再看一眼到期时间与域名匹配。顺云云服务器部署证书的维护脚本里固化验证步骤，三类告警平台差异、链不完整、即将到期，提前发现都只是小事。
证书体系的周期化管理再进一步：建立证书台账，域名、签发日、到期日、部署位置四项齐全，到期前三十天与七天两级提醒。多域名的站点用统一入口管理证书文件，命名带域名与到期年月，杜绝满目录的分不清谁是谁。续期时新旧证书并行验证，确认新链完整再切换，切换后旧文件归档而不是删除，回退时用得上。