Lighty（lighttpd）意外触发HSTS导致证书错误问题求助

兄弟，我之前也踩过几乎一模一样的坑！你这个情况看似矛盾——没配置过HSTS却触发了HSTS错误，核心原因大概率是浏览器缓存了HSTS安全策略，或者lighttpd的某个隐性配置间接开启了HSTS。咱们一步步来排查解决：

第一步：先清掉浏览器的HSTS缓存 #

浏览器一旦记录了某个域名的HSTS策略，会强制用HTTPS访问，哪怕你没配置过。这是最常见的原因：

• Chrome/Edge：在地址栏输入 chrome://net-internals/#hsts（Edge是edge://net-internals/#hsts），找到「Delete domain security policies」模块，输入你的虚拟主机域名（比如phpmyadmin.yourdomain.com），点击「Delete」。
• Firefox：输入 about:config，搜索network.stricttransportsecurity.hosts，找到对应域名的条目右键删除；或者到「设置→隐私与安全→清除数据」，勾选「站点设置」后清除。
• Safari：到「偏好设置→隐私→管理网站数据」，搜索域名后删除。

第二步：检查lighttpd的隐性HSTS配置 #

虽然你没手动加过，但可能是配置文件里的意外设置：

1. 搜索所有lighttpd配置文件里的HSTS相关头：

   grep -r "Strict-Transport-Security" /etc/lighttpd/
   

   如果输出结果里有setenv.add-response-header添加了这个头，那就是问题所在，把它注释掉。
2. 检查SSL模块的默认配置：
   查看mod_openssl的配置，有没有开启ssl.hsts-enable = "enable"，lighttpd默认不会开启，但如果是复制别人的配置可能带过来了。运行配置检查命令确认：

   lighttpd -t -f /etc/lighttpd/lighttpd.conf
   

第三步：验证自签证书的有效性 #

之前正常不代表现在没问题：

• 检查证书是否过期：

  openssl x509 -in /path/to/your/ssl/cert.pem -text -noout | grep "Not After"
  

• 确认证书的域名和访问域名匹配：比如你用yourdomain.com访问，但证书里的CN是www.yourdomain.com，HSTS强制HTTPS后会触发域名不匹配的错误。

第四步：测试HTTPS直接访问IP #

试试访问https://你的服务器IP/，如果这个访问正常，那100%是域名的HSTS缓存问题；如果同样报错，那可能是服务器的SSL配置有问题，或者IP被浏览器缓存了HSTS策略，按第一步的方法清除IP的HSTS记录即可。

按这个流程走下来，基本能解决你的问题。我之前就是Chrome缓存了测试域名的HSTS记录，删完立刻就恢复正常了！

内容的提问来源于stack exchange，提问作者Titus