NET::ERR_CERT_DATE_INVALID 且证书未过期

Question 1

我昨天刚刚遇到类似的问题 - 我的网络服务器仅提供站点证书，而不是完整的证书链。

有些计算机找到了 R3 证书并且很高兴，但是几台 macOS 计算机找不到新的 R3 证书，而是使用旧证书，该证书于 9 月 29 日（两天前）到期，并且其根 CA（DST Root CA X3）于第二天到期。

新的 R3 证书将于 2025 年到期，由不同的 CA 签名：ISRG Root X1。

您可以检查 Web 服务器正在发送的证书：

openssl s_client -connect www.dimsum.dk:443 -servername dimsum.dk -showcerts

s:/C=US/O=Let's Encrypt/CN=R3您应该在输出中看到 R3 证书（），例如

Certificate chain
 0 s:/CN=www.dimsum.dk
   i:/C=US/O=Let's Encrypt/CN=R3
-----BEGIN CERTIFICATE-----
MIIFIDCCBAigAwIBAgISBFTpIRdz8BnEJ1HmwjjelP48MA0GCSqGSIb3DQEBCwUA
...
GWjksODOm3vblUBhcgfrBuBMpFE=
-----END CERTIFICATE-----
 1 s:/C=US/O=Let's Encrypt/CN=R3
   i:/C=US/O=Internet Security Research Group/CN=ISRG Root X1
-----BEGIN CERTIFICATE-----
MIIFFjCCAv6gAwIBAgIRAJErCErPDBinU/bWLiWnX1owDQYJKoZIhvcNAQELBQAw
...
nLRbwHOoq7hHwg==
-----END CERTIFICATE-----
 2 s:/C=US/O=Internet Security Research Group/CN=ISRG Root X1
   i:/O=Digital Signature Trust Co./CN=DST Root CA X3
-----BEGIN CERTIFICATE-----
MIIFYDCCBEigAwIBAgIQQAF3ITfU6UK47naqPGQKtzANBgkqhkiG9w0BAQsFADA/
...
Dfvp7OOGAN6dEOM4+qR9sdjoSYKEBpsr6GtPAQw4dy753ec5
-----END CERTIFICATE-----

这里没有列出到期日期，但请注意，R3 证书由 ISRG Root X1 证书颁发，并且证书的 Base64 顶部和尾部应该与此处的内容相匹配 - 至少在未来几年内。

Answer

我昨天刚刚遇到类似的问题 - 我的网络服务器仅提供站点证书，而不是完整的证书链。

有些计算机找到了 R3 证书并且很高兴，但是几台 macOS 计算机找不到新的 R3 证书，而是使用旧证书，该证书于 9 月 29 日（两天前）到期，并且其根 CA（DST Root CA X3）于第二天到期。

新的 R3 证书将于 2025 年到期，由不同的 CA 签名：ISRG Root X1。

您可以检查 Web 服务器正在发送的证书：

openssl s_client -connect www.dimsum.dk:443 -servername dimsum.dk -showcerts

s:/C=US/O=Let's Encrypt/CN=R3您应该在输出中看到 R3 证书（），例如

Certificate chain
 0 s:/CN=www.dimsum.dk
   i:/C=US/O=Let's Encrypt/CN=R3
-----BEGIN CERTIFICATE-----
MIIFIDCCBAigAwIBAgISBFTpIRdz8BnEJ1HmwjjelP48MA0GCSqGSIb3DQEBCwUA
...
GWjksODOm3vblUBhcgfrBuBMpFE=
-----END CERTIFICATE-----
 1 s:/C=US/O=Let's Encrypt/CN=R3
   i:/C=US/O=Internet Security Research Group/CN=ISRG Root X1
-----BEGIN CERTIFICATE-----
MIIFFjCCAv6gAwIBAgIRAJErCErPDBinU/bWLiWnX1owDQYJKoZIhvcNAQELBQAw
...
nLRbwHOoq7hHwg==
-----END CERTIFICATE-----
 2 s:/C=US/O=Internet Security Research Group/CN=ISRG Root X1
   i:/O=Digital Signature Trust Co./CN=DST Root CA X3
-----BEGIN CERTIFICATE-----
MIIFYDCCBEigAwIBAgIQQAF3ITfU6UK47naqPGQKtzANBgkqhkiG9w0BAQsFADA/
...
Dfvp7OOGAN6dEOM4+qR9sdjoSYKEBpsr6GtPAQw4dy753ec5
-----END CERTIFICATE-----

这里没有列出到期日期，但请注意，R3 证书由 ISRG Root X1 证书颁发，并且证书的 Base64 顶部和尾部应该与此处的内容相匹配 - 至少在未来几年内。

Question 2

当我尝试使用 https 访问我的网站时，我收到以下错误。无论我使用哪种浏览器访问主页，此错误只会在我的计算机上发生。

我将根据经验猜测您的系统时间实际上是准确的，但由于您所在的时区、您的系统时间，浏览器报告证书无效。您的证书无效的原因是由于根证书颁发机构 (CA) 证书 (DST 根 CA X3) 签署的证书将于今天到期。

解决方案是手动安装ISRG 根 X1证书已添加到您设备上的证书存储中。截至今天（2021 年 9 月 30 日），ISRG 根 X1取代DST 根 CA X3。您无需执行任何操作。在受支持的操作系统上运行当前版本的 Chrome 应该已经信任 ISRG Root X1 证书。如果证书仍然不受信任。我只需将证书手动安装到证书存储区即可。

您可以在命令提示符中使用以下命令手动导入证书：

ertutil -ent -addstore Root isrgrootx1.der

来源：Windows7 上的 DST Root CA X3 已过期。我需要安装哪些更新？有解决方法吗？

明确地说，我的建议是手动安装这，使用提供的命令。

Let's Encrypt 有以下建议：

如果您遇到与证书链相关的问题，您应该首先检查您的配置，并确保您的服务器/网站/设备正在发送由 ISRG Root X1 签名的更新的 R3 中间件的正确链。您不太可能需要强制续订来解决与 DST Root CA X3 签名的 R3 到期相关的问题。此主题和社区中的许多其他主题提供了审查和解决此问题的建议。

今天早些时候，DST Root CA X3 按计划到期。大多数与 DST Root CA X3 到期相关的问题都无法通过强制续订来解决。请在打开新主题之前搜索论坛和此主题以获取帮助来解决您遇到的问题。

您可能很幸运地删除了系统中 fullchain.pem（或适当命名的文件）中包含的无效链。您需要删除文件中最后一个条目，该条目应该是的链DST Root CA X3。如果在手动安装正确的证书后，客户端仍然不信任您的网站，那么问题就出在 Web 服务器的配置上。

您可能能够通过强制更新证书并使用以下缩写命令明确指示首选链来解决该问题。

certbot renew --force-renewal --preferred-chain "ISRG Root X1"

来源：目录访问问题

Answer

当我尝试使用 https 访问我的网站时，我收到以下错误。无论我使用哪种浏览器访问主页，此错误只会在我的计算机上发生。

我将根据经验猜测您的系统时间实际上是准确的，但由于您所在的时区、您的系统时间，浏览器报告证书无效。您的证书无效的原因是由于根证书颁发机构 (CA) 证书 (DST 根 CA X3) 签署的证书将于今天到期。

解决方案是手动安装ISRG 根 X1证书已添加到您设备上的证书存储中。截至今天（2021 年 9 月 30 日），ISRG 根 X1取代DST 根 CA X3。您无需执行任何操作。在受支持的操作系统上运行当前版本的 Chrome 应该已经信任 ISRG Root X1 证书。如果证书仍然不受信任。我只需将证书手动安装到证书存储区即可。

您可以在命令提示符中使用以下命令手动导入证书：

ertutil -ent -addstore Root isrgrootx1.der

来源：Windows7 上的 DST Root CA X3 已过期。我需要安装哪些更新？有解决方法吗？

明确地说，我的建议是手动安装这，使用提供的命令。

Let's Encrypt 有以下建议：

如果您遇到与证书链相关的问题，您应该首先检查您的配置，并确保您的服务器/网站/设备正在发送由 ISRG Root X1 签名的更新的 R3 中间件的正确链。您不太可能需要强制续订来解决与 DST Root CA X3 签名的 R3 到期相关的问题。此主题和社区中的许多其他主题提供了审查和解决此问题的建议。

今天早些时候，DST Root CA X3 按计划到期。大多数与 DST Root CA X3 到期相关的问题都无法通过强制续订来解决。请在打开新主题之前搜索论坛和此主题以获取帮助来解决您遇到的问题。

您可能很幸运地删除了系统中 fullchain.pem（或适当命名的文件）中包含的无效链。您需要删除文件中最后一个条目，该条目应该是的链DST Root CA X3。如果在手动安装正确的证书后，客户端仍然不信任您的网站，那么问题就出在 Web 服务器的配置上。

您可能能够通过强制更新证书并使用以下缩写命令明确指示首选链来解决该问题。

certbot renew --force-renewal --preferred-chain "ISRG Root X1"

来源：目录访问问题

Question 3

强制更新您的 Let's Encrypt 证书。

您可以强制更新主机上的 Let's Encrypt 证书，这样应该可以解决问题。

虽然这里的其他答案很好地描述和解释了潜在的问题，但强制更新证书应该可以解决这个问题。

www.dimsum.dk尝试在如下托管服务器上运行此 certbot 命令：

certbot certonly --force-renewal --cert-name www.dimsum.dk

是的，可以更新客户端根证书链以在客户端处理此问题，在该网站的实际主机上更新证书应该可以解决此问题。

确保重新启动 Web 服务器（Apache 或 Nginx），然后一切就绪。但如果不是这种情况，当然请发表评论。

Answer

强制更新您的 Let's Encrypt 证书。

您可以强制更新主机上的 Let's Encrypt 证书，这样应该可以解决问题。

虽然这里的其他答案很好地描述和解释了潜在的问题，但强制更新证书应该可以解决这个问题。

www.dimsum.dk尝试在如下托管服务器上运行此 certbot 命令：

certbot certonly --force-renewal --cert-name www.dimsum.dk

是的，可以更新客户端根证书链以在客户端处理此问题，在该网站的实际主机上更新证书应该可以解决此问题。

确保重新启动 Web 服务器（Apache 或 Nginx），然后一切就绪。但如果不是这种情况，当然请发表评论。

Question 4

首先，昨天在 LetsEncrypt 论坛上有很多关于 Mac 和 Apple 上相同问题的报告。对于这个特定案例，结果发现问题与启动服务器脚本中的错误配置有关。请参阅此处了解完整详情

https://community.letsencrypt.org/t/net-err-cert-date-invalid/161001/19

Answer

首先，昨天在 LetsEncrypt 论坛上有很多关于 Mac 和 Apple 上相同问题的报告。对于这个特定案例，结果发现问题与启动服务器脚本中的错误配置有关。请参阅此处了解完整详情

https://community.letsencrypt.org/t/net-err-cert-date-invalid/161001/19

NET::ERR_CERT_DATE_INVALID 且证书未过期

答案1

答案2

答案3

强制更新您的 Let's Encrypt 证书。

您可以强制更新主机上的 Let's Encrypt 证书，这样应该可以解决问题。

答案4

相关内容