中间证书链缺失导致SSL不安全，需将域名证书与中间证书按序合并为fullchain.pem并填入宝塔SSL设置，私钥单独配置，续签后须确认fullchain.pem存在且含两段证书内容。
宝塔面板部署SSL后浏览器提示不安全，大概率是中间证书链缺失
不是证书本身无效，而是浏览器无法从你的证书一路向上验证到受信任的根证书——缺了中间证书（Intermediate CA Certificate），信任链就断了。宝塔默认只上传 fullchain.pem 或 cert.pem，但部分证书商（比如 Let’s Encrypt 的旧版 ACME 客户端、某些国产 CA）生成的证书包结构不标准，或用户手动拼接时漏掉了中间证书，导致 Nginx/Apache 实际加载的只有域名证书，没带中间链。
怎么确认是不是中间证书链问题
用浏览器打开站点 → 点地址栏锁图标 → 点“连接是安全的” → “证书有效” → 查看证书路径。如果只看到你的域名证书一层，下面没有“R3”“ISRG Root X1”或对应 CA 的中间证书，就是链不全。更准的方法是命令行检测：
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -text | grep "Subject:</code>
再对比：
curl -v https://yourdomain.com 2>&1 | grep "SSL certificate"
若返回里有 unable to get local issuer certificate 或 self signed certificate in certificate chain，基本坐实。
在宝塔里补全中间证书链的实操步骤
宝塔的 SSL 设置页不直接暴露“中间证书”字段，必须手动构造完整证书文件。关键点：Nginx 要求 ssl_certificate 指向的文件必须按顺序包含「域名证书 + 中间证书」，不能含私钥；私钥单独放 ssl_certificate_key。
- 去证书颁发商后台下载完整的证书包（通常含
cert.pem、chain.pem、fullchain.pem、privkey.pem）；不要只用宝塔自动生成的cert.pem - 把
cert.pem和chain.pem合并成新文件（顺序不能错！先 cert，再 chain）：cat cert.pem chain.pem > /www/wwwroot/yourdomain.com/ssl/fullchain_with_intermediate.pem
- 在宝塔 SSL 页面 → “其他证书” → 把合并后的文件内容粘贴进「证书（PEM格式）」框；私钥仍填
privkey.pem内容 - 保存后重启 Nginx，别只重载配置——有些版本重载不刷新证书链缓存
为什么有些证书在宝塔里“自动续签”后又变不安全
Let’s Encrypt 的 certbot 默认生成 fullchain.pem（已含中间链），但宝塔内置的续签脚本如果调用的是老版本 ACME 客户端，或用了自定义 hook 覆盖了证书路径，可能只更新了 cert.pem，没同步更新链文件。每次自动续签后，务必检查：
-
/www/server/panel/vhost/cert/yourdomain.com/fullchain.pem是否存在且内容长度明显大于cert.pem - 该
fullchain.pem文件开头是否为-----BEGIN CERTIFICATE-----，结尾是否有第二个同格式块（即中间证书） - 宝塔 SSL 设置页里显示的“证书路径”是否指向这个
fullchain.pem，而不是cert.pem
信任链不是“有证书就行”，是“有完整、顺序正确、被客户端预置根证书能抵达的路径”——少一环，浏览器就拒绝信任，连警告都不多给一句。
