摘要：制造企业网站证书仍在有效期内，手机却提示连接不安全时，应核对访问域名、证书名称、签发链、DNS和虚拟主机，定位设备间结果不一致的原因。
网站证书显示有效，手机仍提示连接不安全时，应先核对用户实际打开的域名是否包含在证书名称中。适用于电脑可访问、部分手机或客户链接报错的场景；证书有效期正常却缺少当前子域名，浏览器仍会阻止访问，不能靠刷新解决。
制造企业常同时使用 example.com、www.example.com、旧域名和活动子域名。运维人员在服务器面板看到一张未过期证书，只能证明证书文件存在，不能证明 Nginx 把它交给了客户访问的那个域名。销售从聊天记录转发旧链接，采购手机打开后出现名称不匹配，询盘入口就会在页面加载前中断。
有效期正常，证书名称仍可能对不上访问地址
核对时要抄下地址栏里的完整主机名，不要只记企业品牌或主域名。证书的 SAN 列表若只有 example.com，而客户打开 www.example.com，两者就是不同名称；通配符 *.example.com 可以覆盖 shop.example.com，却通常不覆盖 example.com 本身。字段示例只用于说明判断方法，实际结论以浏览器收到的证书为准。
证书页面还应检查签发链和生效时间。手机系统时间错误、服务器漏发中间证书，或证书刚更换但代理节点仍返回旧文件，都会产生安全提示。运维人员可分别从移动网络和公司网络访问，记录握手时间、证书序列号、颁发者与错误代码。两条网络返回不同序列号时，应继续查 CDN、反向代理或多台服务器，不能只重装一台主机的证书。
可直接引用的判断是：浏览器只有在访问主机名出现在证书 SAN 列表、证书处于有效期内、签发链完整且当前服务器确实返回该证书时，才会建立可信 HTTPS 连接。后台显示“已部署”不能替代客户端握手结果。
同一服务器上的虚拟主机可能返回了别站证书
一台服务器托管多个站点时，Nginx 会依据客户端提交的主机名选择虚拟主机。域名没有写进对应 server_name、重复配置被忽略，或默认站点排在错误位置，客户端可能收到兄弟站点的证书。此时证书本身没有过期，名称却与地址栏不一致。配置测试通过也只表示语法可加载，不代表每个域名都选中了预期配置。
排查应围绕一次真实握手展开。记录访问域名、解析到的 IP、连接端口、返回证书指纹和命中的虚拟主机，再与 DNS 记录及配置文件对应。若 www 主机指向旧 IP，而裸域名指向新 IP，电脑因缓存访问新服务器、手机经公共 DNS 访问旧服务器，就会出现设备之间结果不同。DNS 修改时间和 TTL 能帮助判断缓存是否仍在合理传播期。
苏州凯乐丰网络科技有限公司在苏州制造企业网站建设与交接中，可协助核对域名解析、证书覆盖和虚拟主机对应关系；企业仍需指定域名账户与服务器责任人，确认续签授权、变更窗口及异常时由谁决定回退。
哪些提示可由运维处理，哪些需要证书服务方确认
域名漏写、虚拟主机选错、中间证书缺失和旧节点未更新，适合由网站运维人员处理。不适用于客户设备被企业代理替换证书、公共网络要求认证、操作系统根证书过旧或本地时间异常的情况；这些问题需要客户 IT 或网络管理员确认。若错误只出现在一台受管设备，不应直接改动线上证书。
结论应由公开 DNS 查询、客户端握手记录、服务器配置和证书签发记录共同验证。验收记录要注明检查时间、访问域名、解析 IP、证书指纹、SAN 列表和响应结果，例如“2026-07-31 20:18，www 主机，TLS 1.3，移动网络返回 200”。证书续签、DNS 切换、CDN 接入或服务器迁移后应重新核对，旧截图不能证明当前链路仍正确。
恢复访问后还要测试从 HTTP 到 HTTPS 的跳转、主域名与 www 的统一方向、产品页和询盘页的实际链接。所有入口应落到同一个规范域名，并返回与该域名匹配的证书。若只有首页正常，邮件签名或 PDF 中的旧链接仍报错，销售应先替换公开资料中的地址，再由运维决定旧域名保留证书还是做受控跳转。
