isync报mail.example.com SSL证书过期但证书实际未过期排查求助

• 先验证本地获取到的证书链是否正确
  执行命令openssl s_client -connect mail.example.com:993 -servername mail.example.com（注意替换你的实际域名和对应端口，IMAP默认端口为993，POP3默认端口为995），对比返回的证书有效期、颁发链和你外部工具核查的结果是否一致。
  常见原因是本地系统CA存储中存在过期的根证书（比如旧版Let's Encrypt的DST Root CA X3），即使服务器配置了新的有效根证书，本地旧根证书会被优先匹配，触发过期报错。如果确认是本地根证书过期导致，可执行对应系统的CA存储更新命令：Debian/Ubuntu系执行sudo update-ca-certificates，CentOS/RHEL系执行sudo update-ca-trust。
• 检查mbsync配置是否指定了错误的CA路径
  打开你的~/.mbsyncrc配置文件，查看对应IMAP配置块中是否存在SSLCAFile参数硬编码了旧的CA证书文件路径，导致没有读取系统最新的CA存储。
• 确认域名解析是否正确
  执行nslookup mail.example.com核查解析到的IP是否和你的邮件服务器真实IP一致，避免本地hosts劫持或者DNS缓存导致连接到了旧的部署了过期证书的服务器。
• 检查isync版本兼容性
  旧版本isync存在不支持SNI的问题，如果你的邮件服务器是多域名共享证书，未开启SNI的情况下isync会获取到服务器默认证书而非对应域名的证书，触发校验失败。可以执行mbsync --version查看版本，升级到最新稳定版后重试。

• 临时测试方案（不推荐长期使用）
  在对应IMAP配置块中添加SSLVerify None参数，直接关闭SSL证书校验，确认是否能正常同步，以此确认问题确实出在证书校验环节。
• 安全的单域名信任方案
  1. 导出服务器的有效证书：
     openssl s_client -connect mail.example.com:993 -servername mail.example.com < /dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' > ~/.mbsync_mail_example.crt
  2. 在~/.mbsyncrc的对应IMAP配置块中添加参数：
     SSLCAFile ~/.mbsync_mail_example.crt
     该配置只会信任你导出的该服务器证书，不会降低整体SSL安全等级。

内容的提问来源于stack exchange，提问作者Michael