浏览器弹出证书报错的时候，不要第一时间直接点继续访问。这个选项很多浏览器藏得很深，部分版本甚至直接移除，并不是刻意增加访问门槛，证书异常代表当前访问页面存在被篡改风险，或者服务器本身配置出错。先暂停访问，按顺序排查，大部分问题几分钟就能定位。
先读取错误代码。Chrome和Edge会在提示页面标注具体原因，NET::ERR_CERT_DATE_INVALID代表证书过期，NET::ERR_CERT_COMMON_NAME_INVALID是证书绑定域名和访问域名不匹配，NET::ERR_CERT_AUTHORITY_INVALID代表签发证书的机构不被系统信任。不同代码对应不同故障环节，不要笼统判定成网站故障。
优先检查电脑或者手机的系统时间。这个原因看着简单，但很多人踩坑。证书有固定生效和失效时间，如果本机系统时间落在证书有效期之外，浏览器就判定证书无效。长时间未开机的旧设备、更换过主板电池的设备，或是手动修改过时区时间的设备，容易出现这类问题。开启系统自动同步时间，重启浏览器重试。
时间确认无误之后，更换浏览器或者换另一台设备访问同一个网站。如果只有当前设备报错，其他设备访问正常，问题出在本地环境。常见诱因是杀毒软件、安全软件开启HTTPS流量扫描。卡巴斯基、ESET、Avast这类安全软件会开启HTTPS扫描功能，替换网站原有证书，使用软件自身根证书重新签发，如果根证书缺失或者过期，浏览器就不信任。临时关闭HTTPS扫描测试，如果访问恢复正常，到安全软件内重新安装对应的根证书。
代理和VPN也会干扰证书校验。部分代理工具为解密流量，会替换证书；企业内网的上网行为管理设备同样会做证书替换。设备连接异常代理，或者接入公司内网拦截环境，证书就会变成陌生证书。断开代理，切换手机热点测试，可以快速判断故障是否来自网络环境。
再核对输入的域名是否正确。很多人访问https://www.example.com，但证书仅绑定example.com，反过来也会报错。还有网站更换域名，旧域名证书没有续费，从收藏夹点击进入就触发证书告警。仔细核对地址栏完整链接，确认域名没有拼写错误，不存在多余子域名。
以上排查都没有问题，故障大概率来自网站服务器本身。证书过期是最常见情况，中小网站、个人站点更容易出现。点开浏览器证书详情，查看有效期一栏，如果结束日期已经过去，就是站点忘记续费证书。另一种情况是证书链不完整。服务器只下发站点证书，没有附带中间证书，部分浏览器可以自动补齐，另一些设备上直接报错。这类故障经常表现为部分人可以打开网站，另一部分人访问报错。网站管理员可以使用SSL Labs在线检测工具，检查证书链是否缺失。
自签名证书也是一类常见情况。开发环境、内网系统、路由器管理页面经常使用自建证书，浏览器默认不信任。如果是自己管理的设备，可以手动导入证书添加信任；如果访问外部网站，不要手动导入，等于放弃安全校验。
HSTS机制也会造成证书告警无法绕过。开启HSTS的网站，浏览器强制记住该域名必须使用HTTPS访问，并且禁止手动跳过证书警告。这时浏览器不会提供继续访问选项。解决办法是等待HSTS记录过期，或者清除浏览器保存的HSTS记录，但更合理的做法是联系网站运维修复证书。
普通用户可以执行的排查步骤基本就是这些。系统时间、网络环境、域名拼写、多设备对比，四个方向排查完毕，就能区分是本地故障还是网站侧问题。本地问题自行修复，网站侧故障只能等待对方处理或者更换访问渠道。证书报错页面，绝对不要输入密码、验证码、银行卡信息，这是安全底线。证书报错不等于一定遭遇网络攻击，但代表这条网络连接身份无法验证，不能在这类连接传输敏感信息。
如果你是网站管理员，排查顺序可以反过来。优先确认证书到期时间，借助在线工具检测证书链、域名匹配情况，接着检查服务器配置是否遗漏中间证书、HTTP是否强制跳转HTTPS、HSTS是否开启。CDN、负载均衡后端多台服务器场景，所有节点证书都需要同步更新，不能只更新单台服务器证书。更换证书之后清理CDN缓存，避免边缘节点继续加载旧证书。完成这些操作，用户端证书报错基本就能解决。