系统时间不准或时区错误导致SSL证书验证失败，须同步校准系统时间、设为Asia/Shanghai时区、启用chrony自动同步，并保持硬件时钟为UTC。
系统时间不准或时区设错，直接导致 SSL 证书验证失败——浏览器报 NET::ERR_CERT_DATE_INVALID 或移动端白屏，不是证书本身坏了，是服务器觉得自己“活在昨天”。必须先校准系统时间+正确设置时区，否则重签证书、换 Nginx 配置全是白忙。
timedatectl set-timezone Asia/Shanghai 是唯一稳的操作
宝塔面板里点“同步时间”没用？大概率是因为系统时区还是 Etc/UTC。面板不接管底层时区，它只是个网页壳子。改时区不能靠复制文件、也不能信 tzselect 这种交互式老工具——systemd 系统（CentOS 7+/Ubuntu 16.04+）只认 timedatectl。
- 执行
timedatectl看当前状态，重点确认Time zone:行是不是Asia/Shanghai (CST, +0800) - 如果不是，直接运行：
sudo timedatectl set-timezone Asia/Shanghai - 别手动 ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime —— 这在新版系统上会被 systemd 覆盖，下次重启又变 UTC
- PHP/Python 应用仍显示 UTC？检查
php.ini里有没有硬写date.timezone = UTC，删掉；Python 别只用datetime.now()，得用datetime.now().astimezone()
ntpdate 已弃用，优先启用 chrony 自动同步
ntpdate 是单次命令，不驻留、不补偿漂移，且在 CentOS 8+/Debian 11+ 默认不带、甚至被移除。证书错误反复出现，往往是因为时间每天慢几秒，积少成多。chrony 才是现代 Linux 的标准答案。
- 安装：
sudo yum install chrony -y（CentOS/RHEL）或sudo apt install chrony -y（Ubuntu/Debian） - 编辑
/etc/chrony.conf，把默认server行换成国内源，例如：server ntp.aliyun.com iburst - 启动并开机自启：
sudo systemctl enable chronyd && sudo systemctl start chronyd - 验证：
chronyc tracking输出中System clock status: synchronized才算真正稳住
宝塔面板时间同步按钮只能“救急”，不能“救命”
面板设置页的【服务器时间】→【同步】按钮，本质就是调一次 ntpdate -s 或触发 systemd-timesyncd。它不改时区、不写硬件时钟、不设守护进程——关机再开机，时间又偏了，证书照样报错。
- 这个按钮只适合临时验证：比如刚装完系统，想快速看一眼时间对不对
- 如果点完它，
timedatectl显示System clock synchronized: no，说明底层 NTP 服务根本没跑起来，得回头配 chrony - Linux 工具箱里的“同步时间”开关，实际也是调 chrony 或 ntpd，但它依赖你先选对时区——没设
Asia/Shanghai就点同步，结果仍是“同步成功，但时间还是错的”
硬件时钟（RTC）设为 UTC 是底线，别碰 local RTC
有些教程让你执行 timedatectl set-local-rtc 1，这是给双系统（Windows+Linux）共存的机器准备的。但服务器几乎都是纯 Linux，且宝塔、Nginx、OpenSSL 全按 UTC 解析证书有效期——如果你把 RTC 设成本地时间，每次重启都会加载一个“伪造”的北京时间，系统反而更乱。
- 务必执行：
sudo timedatectl set-local-rtc 0（保持 RTC 为 UTC） - chrony 会自动把校准后的时间同步到 RTC，不需要额外跑
hwclock -w - 执行
sudo hwclock -r查 RTC 时间，应和timedatectl里显示的RTC time:一致，且是 UTC 时间（比本地时间慢 8 小时）
证书报错不是证书的问题，是系统说自己“不在现在”。修时间不是点一下面板就能完的事——时区、NTP 守护进程、RTC 模式，三个环缺一不可。漏掉任何一个，过几天又得重来。
