为何whatsmychaincert检测UTS网站SSL证书链报错，其他工具正常？

这是个很常见的SSL证书链检测工具差异问题，我来帮你拆解背后的核心原因：

• 信任库配置差异
  不同检测工具依赖的CA信任列表（trust store）不一样。像你提到的另外两个工具，用的是主流浏览器/操作系统默认的信任库（比如Mozilla NSS、Windows根证书存储），这些库里已经包含了QuoVadis Root CA 2 G3这个根证书，所以能正常验证整个链。但whatsmychaincert可能使用了自定义的、更严格的信任库，或者没有及时更新该根CA的信任条目，导致它无法识别这个根证书，进而判定中间证书不受信任。

• 证书链构建与解析逻辑不同
  有些工具会自动尝试从公开CA仓库补充缺失的中间证书，或者对证书元数据的容错性更高。而whatsmychaincert的验证逻辑可能更苛刻：它要求服务器必须完整发送整个证书链，或者对证书的某些扩展字段（比如签发信息格式）有更严格的校验标准，导致它认为QuoVadis Global SSL ICA G3中间证书不符合“标准CA签发信息”，而其他工具能正常解析这些字段。

• 错误码20的具体含义
  这个错误码对应工具自定义的“不受信任证书”判定，本质是它找不到能验证中间证书的受信任根CA，并不是UTS的证书链真的有问题。

总结 #

UTS网站的SSL证书链实际上是合规有效的，不会影响用户通过浏览器或常规客户端访问。差异完全来自不同检测工具的信任库和验证规则差异，不用过度担心这个问题。

内容的提问来源于stack exchange，提问作者snow_leopard