Windows 7设备Chrome访问Let's Encrypt证书站点报NET::ERR_CERT_DATE_INVALID错误

问题根本原因 #

这一问题由Let's Encrypt旧根证书过期、Windows 7系统未更新根证书信任列表共同导致：

• Chrome等基于Chromium内核的浏览器在Windows平台默认调用系统内置的根证书信任列表，Windows 7已停止官方维护，没有自动更新Let's Encrypt现在使用的ISRG Root X1根证书，同时原有的DST Root CA X3根证书已过期，因此会触发证书校验错误。
• 火狐浏览器自带独立的根证书信任列表，不受系统根证书存储限制，因此可以正常访问。
• Windows 7以上版本的系统会自动推送根证书更新，已内置信任ISRG Root X1根证书，因此访问无异常。

站点运营端解决方案（一劳永逸） #

调整Let's Encrypt证书签发配置，优先使用仅包含ISRG Root X1根的短证书链，替换默认的兼容旧安卓设备的长证书链（携带已过期的DST Root CA X3跨签证书）即可：

• 若使用certbot工具签发证书，添加参数 --preferred-chain "ISRG Root X1" 重新签发证书即可生效
• 其他ACME签发工具均支持「优先选择根证书链」配置，指定ISRG Root X1为信任根即可

调整后仅会影响安卓7以下的极老旧设备访问，其余终端均可正常兼容，同时解决Windows 7 Chrome的访问问题。

Win7用户端临时解决方案 #

如果无法调整站点配置，Win7用户可手动导入ISRG Root X1根证书到系统信任存储：

1. 获取ISRG Root X1证书文件
2. 双击证书文件，点击「安装证书」
3. 选择「本地计算机」，下一步后选中「将所有证书都放入下列存储」
4. 点击「浏览」，选择「受信任的根证书颁发机构」，完成安装后重启浏览器即可

内容的提问来源于stack exchange，提问作者Daniel Sava