IIS SSL 证书配置需确保证书导入“本地计算机→个人”存储、HTTP.SYS 正确注册、中间证书链完整、服务与端口正常。常见错误包括导入到当前用户、私钥缺失、SNI 设置不当、中间证书未安装及防火墙未放行443端口。
在 windows server 2022 中配置 iis 站点 ssl 证书，关键不是“点几下导入”，而是确保证书能被 iis 正确识别、http.sys 成功注册、端口监听正常启用，并让客户端完整验证信任链。多数 https 访问失败（如 err_ssl_protocol_error、503 或浏览器提示“连接不安全”）都卡在这几个环节。
证书必须导入到“本地计算机 → 个人”存储
这是最常出错的一步。双击 .pfx 文件默认导入到“当前用户”，IIS 完全看不到它。
- 按 Win + R 输入
certlm.msc</strong>（不是 certmgr.msc），打开本地计算机证书管理器</li> <li>展开左侧“证书（本地计算机）→ 个人→ 证书”，右键“所有任务→ 导入”</li> <li>浏览选择 .pfx 文件，输入密码，勾选“根据证书内容自动选择存储位置”，但务必手动确认最终存储路径是“个人”文件夹</li> <li>导入完成后，检查证书图标：带小钥匙图标 ✅ 表示私钥已关联；无钥匙 ❌ 则绑定时会显示“无匹配证书”，需重新导入并勾选“标记私钥为可导出”</li> </ul> <H3>IIS 绑定时要匹配网络架构选 SNI 或 IP 绑定</H3> <p>Windows Server 2022 默认启用 SNI（服务器名称指示），但是否勾选“需要服务器名称指示”取决于你的部署环境。</p><div class="aritcle_card flexRow"> <div class="artcardd flexRow"> <a class="aritcle_card_img" href="/xiazai/skill3368" title="windows-healing-gateway"><img src="https://img.php.cn/upload/skill/000/000/081/178954395066753.jpg" alt="windows-healing-gateway" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a> <div class="aritcle_card_info flexColumn"> <a href="/xiazai/skill3368" title="windows-healing-gateway">windows-healing-gateway</a> <p>通过任务计划程序自动监控并自修复 Windows 上的 OpenClaw Gateway，具备 AI 诊断和 Telegram 报警功能。</p> </div> <a href="/xiazai/skill3368" title="windows-healing-gateway" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a> </div> </div> <ul> <li>单域名、或多个域名共用一个公网 IP：勾选“需要服务器名称指示”，主机名填对应域名（如 example.com）</li> <li>旧版负载均衡器、某些 CDN（如早期 Cloudflare 免费版）、或要求直接 IP 访问的场景：取消勾选 SNI，IP 地址选具体 IP（非“全部未分配”），否则可能握手失败</li> <li>若绑定后仍无法访问 HTTPS，运行命令 <code>netsh http show sslcert查看是否有0.0.0.0:443条目；没有则说明 HTTP.SYS 未注册，需手动执行netsh http add sslcert ipport=0.0.0.0:443 certhash=xxx appid={...}（certhash 从证书详细信息中复制指纹，删空格）
补全中间证书链，避免浏览器报“您的连接不是私密连接”
IIS 默认只发送站点证书，不自动包含中间 CA 证书。现代浏览器（Chrome/Edge）会严格校验完整链，缺失中间证书即触发警告。
- 双击已导入的证书 → 切换到“证书路径”选项卡，确认所有节点显示“此证书已通过验证”
- 若路径中断（例如显示“该证书由未知权威颁发”），说明中间证书缺失；需从证书颁发机构官网下载对应中间证书（注意匹配根证书，如新证书应配 ISRG Root X1，而非已停用的 DST Root CA X3）
- 将中间证书也导入到“本地计算机 → 中间证书颁发机构→ 证书”存储中，无需重启服务，IIS 会自动在 TLS 握手时一并发送
检查基础服务、端口与协议兼容性
SSL 绑定成功 ≠ HTTPS 可用。底层依赖项缺一不可。
- 确保两个系统服务正在运行：World Wide Web Publishing Service 和 Windows Process Activation Service（仅重启 IIS Manager 不生效）
- 防火墙必须放行 TCP 443，且规则作用域设为“任何位置”，不能仅限“本地子网”
- 若启用 HTTP/2 后访问异常（尤其 Chrome），临时取消绑定中的“启用 HTTP/2”，验证是否为 ALPN 协商问题；确认服务器支持 TLS 1.2+，禁用弱协议（如 SSL 3.0、TLS 1.0）
