有效期内SSL证书访问报错，是否需执行rekey操作？

先别着急做rekey操作——先排查几个更常见的问题，这些大概率是导致你证书报错的核心原因：

• 浏览器缓存干扰：浏览器经常会缓存旧的证书信息，哪怕你证书本身有效，也可能残留过期的缓存记录。试试用隐私/无痕模式访问站点，或者清除浏览器的SSL缓存（比如Chrome可在chrome://settings/clearBrowserData里勾选“缓存的图片和文件”），看是否还会报错。
• 证书链不完整：这是“有效证书却提示错误”最常见的诱因之一。你的主证书可能没问题，但中间证书没正确安装，导致客户端无法验证完整的信任链。可以用命令行工具快速检查：

  openssl s_client -connect yourdomain.com:443
  

  查看输出里的Verify return code和证书链信息，如果出现unable to get local issuer certificate这类提示，说明中间证书缺失，补全即可，完全不需要rekey。
• 服务器配置异常：哪怕你没手动修改配置，服务器重启、服务重载失败都可能导致Web服务加载了旧的证书文件。检查你的Web服务器配置：
  • Nginx：确认ssl_certificate和ssl_certificate_key指向的是当前有效的证书和密钥文件，不是旧的过期文件；
  • Apache：检查SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile的路径是否正确。
    可以尝试重启Web服务验证：systemctl restart nginx（或apache2）。
• 域名匹配问题：确认你的证书包含当前访问的域名。比如你访问的是blog.example.com，但证书只覆盖了example.com；或者通配符证书是*.example.com，但你访问的是主域example.com（部分通配符证书默认不包含主域）。可以用以下命令查看证书的域名覆盖范围：

  openssl x509 -in yourcert.pem -text -noout
  

  找到Subject Alternative Name字段，确认目标域名在列表内。

如果以上所有排查都没问题，再考虑rekey操作。Rekey主要用于密钥泄露、证书需要修改内容（比如新增域名）或证书本身存在损坏的情况，并不是解决这类突发报错的首选方案。

内容的提问来源于stack exchange，提问作者Vignesh Subramanian