更换Let's Encrypt证书后仅部分政府客户出现网站SSL报错咨询

核心触发原因 #

• 政务内网信任根证书库更新滞后：政务场景下的终端、防火墙、流量审计设备通常使用定制化的根证书信任列表，多数旧版本列表未收录Let's Encrypt的ISRG Root X1根证书，部分还保留了已过期的DST Root CA X3交叉签名根证书，访问时会直接判定证书无效。
• 政务网络SSL中间人拦截：部分政务出口会部署SSL流量审计设备，对HTTPS请求做证书校验/内容审计，若设备信任库未更新Let's Encrypt根证书，会直接拦截请求，同时因你的站点开启了HSTS，浏览器检测到证书不被信任时会直接禁止用户绕过警告，符合HSTS的安全规则。
• 终端系统版本过旧：如果报错用户使用Windows 7、长期未更新的旧版Android/macOS系统，系统默认信任库也未收录Let's Encrypt根证书，会直接触发证书无效报错。

排查修复步骤 #

• 先验证服务器证书链配置：运行openssl s_client -connect 你的站点域名:443命令检查返回的证书链，确认返回内容包含叶证书、ISRG Root X1中间证书，未携带已过期的DST Root CA X3交叉签名链。
• 确认用户侧获取的证书是否正常：联系报错用户点击浏览器地址栏的证书错误提示，查看返回证书的颁发者、有效期信息，确认用户拿到的是你部署的Let's Encrypt证书，还是政务网络中间设备替换的自签名审计证书。
• 兼容方案调整：如果确认是根证书信任问题，可先切换为Let's Encrypt的兼容型证书链，暂时保留对旧系统的支持；同时给政务用户提供ISRG Root X1根证书的安装指南，引导其批量导入到终端和网关设备的信任库中。

内容的提问来源于stack exchange，提问作者A Magoon