SSL 证书链不完整，通常需要在实际 TLS 终止节点安装与站点证书匹配的中间证书，并确认该节点对外发送了正确链。修复后，还要用目标客户端验证；只把中间证书导入管理员电脑，不能修复服务器部署。
一个常见现象是：电脑浏览器访问正常，手机、Java 程序或接口客户端却提示证书不受信任。有的客户端可能缓存过中间证书，或具备补取能力，另一些没有。浏览器没有报警，不能据此排除漏配。
先找到真正对外提供证书的位置
证书可能终止于 CDN、WAF、负载均衡器或源站 Web 服务器。外部访问经过 CDN 时，修改源站证书文件，不一定改变用户看到的证书链。
排查应先记录访问域名、端口、报错客户端和实际入口。多节点或灰度部署中，还要确认是否只有某个地址返回旧证书或不完整链。不要在尚未定位节点时，就向所有服务器导入一批CA 文件。
看对端发送了什么 再判断缺什么
以安装有 OpenSSL 的环境为例，可用下面的只读命令查看指定入口返回的证书：
openssl s_client -connectexample.com:443 -servername example.com -showcerts
将示例域名替换为实际域名，必要时指定目标IP 并保留正确的 servername，以检查特定节点的 SNI 配置。输出中的证书列表反映对端发送的内容，不能仅凭列表有多张证书就判断链一定有效。
站点证书的 Issuer 可作为寻找签发 CA 的线索，还应结合 Authority KeyIdentifier、官方链文件及路径验证核对。证书名称相似，不足以证明它是正确的上级 CA。
若日志提示域名不匹配、证书过期或尚未生效，需先按对应原因处理。补充中间证书不会修复这些问题，也不能让已被目标客户端取消信任的路径重新受信任。
从 GlobalSign 对应层级取得链文件
GlobalSign 中间证书目录按产品和层级提供入口。应优先使用本次签发提供的推荐链，或根据实际站点证书查询匹配文件，避免继续沿用上一次续期的链包。
尤其在根与中间 CA 迁移后，同一品牌、同一域名的新证书，可能需要不同链文件。应按实际签发层级核对，不能把任意 R46、E46 或旧根相关文件拼在一起。
服务器通常需要发送站点证书及构建路径所需的中间证书，自签名根通常由客户端信任库提供，不需要随握手发送。如果官方推荐兼容路径涉及交叉证书，应按该路径部署；交叉证书与最终自签名根不能混为一谈。
Nginx 与 Apache 要按实际版本配置
对于常见 Nginx 部署，ssl_certificate 所指向的 PEM 文件应包含站点证书及所需中间证书，顺序从站点证书向上排列；私钥由 ssl_certificate_key 单独配置。上线前检查文件格式、路径、权限和证书与私钥匹配情况。
Apache 的写法与版本有关。GlobalSign 官方说明，自 Apache 2.4.8 起，SSLCertificateFile 可承载中间证书，SSLCertificateChainFile 已被弃用。不应把旧教程的配置原样套到所有服务器。
云平台则需检查上传项是否将站点证书、私钥和证书链分别处理。平台显示上传成功之后，还要确认配置已经绑定到正确域名、监听器和服务节点。
加载配置后重新检查线上结果
变更前保留当前配置与有效链文件，先做语法检查，再按运维流程加载。以常见部署为例，可使用nginx -t 或 apachectl configtest；具体命令取决于安装方式和运行环境。
变更后再次从外部请求实际入口，确认返回证书、链和域名均正确，并覆盖报错客户端。多节点需要逐个或按可验证方式检查，避免只有部分节点更新。
OpenSSL 的 showcerts 命令用于观察链，不构成全部验收。目标运行时还可能使用独立信任库，也需检查其信任状态与主机名验证。
仍然失败时怎么缩小范围
如果线上链已经完整，问题只存在于某个应用，应检查该应用的信任库、运行时版本和证书绑定设置。若所有访问端都失败，优先复核实际节点返回的链、有效期、域名及服务器时间。
需要 GlobalSign 技术支持协助时，可以提供域名、端口、证书公开信息、报错文本、受影响客户端和已检查节点。不要发送私钥。把这些信息一次整理清楚，更便于确认是中间证书缺失、路径兼容还是其他验证问题。
常见问题 FAQ
把根证书安装到服务器就能解决链不完整吗？
不能保证。应检查实际缺少的中间证书及对外发送内容。客户端信任与服务器链配置需要分别判断。
为什么同一个网站电脑能打开手机却失败？
可能与缓存中间证书、链补取能力、信任库或运行时差异有关。应分别核对，不宜直接认定手机系统有问题。
只更新源站就能修复 CDN 访问吗？
不一定。应确认外部 TLS 在哪里终止，再修改对应节点；源站与 CDN 可能使用不同证书。
补齐中间证书以后是否还需要重签站点证书？
如果站点证书本身有效、用途和名称正确，单纯部署缺链通常可通过修正配置处理。若证书或签发层级不适用，应再评估重签。
资料核查日期：2026年11月4日。具体产品配置及实施安排以适用要求和 GlobalSign 对应方案确认为准。
参考与延伸阅读
GlobalSign 中间证书目录
GlobalSign SSL 安装说明
GlobalSign Nginx 安装指南
GlobalSign Apache 安装指南