摘要：SSL 证书安装后不能只看上传成功。按实际入口核对证书、SAN 域名、有效期、完整链和目标客户端，并完成业务操作与多节点验收。
SSL 证书已经上传，服务器配置也没有报错，这次安装能算完成吗？对于需要对外提供 HTTPS 的业务，验收还应从客户端实际连接的结果开始。
SSL/TLS 证书安装后的核心检查包括：入口是否返回预期证书，名称与有效期是否正确，证书链能否在目标客户端中构建，以及业务连接是否正常。安装日志和本地文件能说明过程，不能代替这些结果。
下面按上线验收的顺序展开，适用于首次安装和后续换证。具体操作仍需结合服务器、云平台和客户端环境安排。
先列清验收入口 避免只检查源站
把要支持的域名、端口和访问方式列出来，包括主域名、www 子域名、API 及业务子站，并记录流量是否经过 CDN、WAF 或负载均衡器。
用户看到的证书来自实际终止其TLS 连接的节点。若对外入口与源站使用不同证书，就应分别验证；源站换证成功不能替代外部入口验收。
对多地区、多节点或同时提供IPv4、IPv6 的服务，应结合架构安排覆盖检查。没有逐一列明的入口，往往也是后续遗漏更新的位置。
验收记录应包含测试时间、网络位置和目标地址，便于之后复现。浏览器能打开某个页面，只能证明这次访问路径上的结果。
核对返回的是哪张证书
从实际域名建立新连接，查看站点证书的SAN、签发者、有效期和指纹，并与准备部署的证书核对。
不要只看证书文件名或企业名称。续期前后两张证书的名称可能相同，指纹等信息更适合区分具体证书。
有效期要同时检查开始与结束时间，并留意客户端系统时间。刚完成部署不代表证书一定处于有效期内，也不能将订阅期限当作单张证书期限。
如果看到的是其他站点证书，优先检查HTTPS 绑定、虚拟主机和 SNI 配置。直接访问 IP 得到默认站点证书，不一定能代表使用正式域名时的结果。
域名匹配要按完整名称检查
验收时以实际访问主机名核对SAN 中的适用名称，不能仅因为品牌、主域名或页面内容相同，就认定证书匹配。
例如，包含www.example.com 不自动覆盖 api.example.com；*.example.com 可匹配 api.example.com，但不直接匹配 v2.api.example.com。基础域名 example.com 也需要证书包含相应名称。
如果 HTTP 或 HTTPS 入口需要跳转，起始 HTTPS 连接仍须先通过其自身的证书验证，不能靠跳转到另一个正常页面来修复名称不匹配。
测试 API 时，也要使用应用实际配置的主机名。DNS 别名或后端解析关系不会自动替代证书名称检查。
证书链要验证 不能只数证书张数
服务器通常应发送站点证书和构建路径所需的中间证书；信任锚通常由客户端信任库提供。若官方推荐兼容路径包含交叉证书，应按该路径配置，不能把交叉证书与最终自签名根混为一谈。
GlobalSign 提供官方中间证书目录。应根据实际签发层级和推荐链获取匹配文件，而不是继续使用旧订单或其他产品的链包。
一台电脑正常，不足以排除缺链。部分客户端可能缓存或补取中间证书，另一些运行环境没有相同能力。验收应覆盖需要支持的环境，检查信任路径是否完整可用。
技术人员可用 OpenSSL 观察指定入口发送的证书。下面为两行书写的 shell 命令示例，反斜杠表示续行：
openssl s_client -connectexample.com:443 -servername example.com \ -showcerts -verify_hostname example.com -verify_return_error
将示例域名替换为实际域名，并按本机版本配置可信CA 来源。-servername 用于发送 SNI，-verify_hostname 用于名称检查，不能将二者混淆。-showcerts 只展示对端发送的证书列表，不单独证明链有效。
命令结果仍取决于所用OpenSSL 版本、信任库与验证配置，也不替代目标应用的检查。不要通过关闭验证来让验收“通过”。
兼容性要覆盖真实客户端
先与业务团队明确支持范围，再选择测试环境：浏览器之外，还可能包括移动应用、Java 程序、合作伙伴 SDK 或使用独立信任库的服务。
检查这些客户端能否验证实际链、支持所选算法并完成TLS 协商。如果应用固定了旧证书或公钥，还应评估换证是否触发其额外限制。
GlobalSign 的根和证书配置调整，也应以实际签发层级与当前官方说明为准。公开信任证书并不意味着所有历史系统、旧设备和自定义信任库都能自动兼容。
出现问题时，记录客户端版本、报错和返回链。应区分名称不匹配、信任链失败与TLS 协商问题，避免把不同原因统一处理为重新安装证书。
证书正常以后 再验证业务操作
浏览器没有证书警告，还应继续检查登录、接口调用、文件下载等关键流程。页面中的混合内容或后端接口失败，可能让业务无法正常使用，即使入口证书本身有效。
如果使用GlobalSign 证书，可以结合对应安装指南和官方检测入口复核公网部署。外部检测只能覆盖其实际可访问的入口，不能证明内网、全部节点和所有客户端均已通过。
最后保留一份验收记录：域名与端口、证书指纹和期限、链文件版本、测试客户端、关键操作结果及遗留问题。完成后设置下一次更新与监控安排。
需要 GlobalSign 技术支持协助时，提供这些信息和必要日志，有助于定位问题；私钥应始终按企业制度保管，不随工单或邮件发送。
常见问题 FAQ
浏览器访问正常 就算全部验收通过吗
不一定。仍需核对真实业务客户端、多节点入口与关键操作。单次浏览器访问不能代表全部部署环境。
服务器必须发送根证书吗
通常不需要发送最终自签名根，重点是正确配置所需中间链。若使用官方推荐的交叉路径，应按具体部署要求处理。
使用 SSL 检测工具得到高分 就能保证业务兼容吗
不能保证。检测反映特定入口和检查项目的结果，业务程序的独立信任库、名称限制和实际连接仍需验证。
自动部署的证书 还要做安装验收吗
需要。任务成功与线上生效应分别确认，可将连接检查纳入自动化后的验收流程。
参考与延伸阅读
GlobalSign 官方中间证书目录
GlobalSign Nginx 安装指南
GlobalSign TLS 根与证书配置调整说明
OpenSSL s_client 官方说明
RFC 9525 TLS 服务身份验证