当Windows 11因离线、证书损坏或策略限制缺失ISRG Root X1等根证书时，访问Let’s Encrypt网站会报“不安全”；需手动下载isrgrootx1.der/.cer文件，以管理员身份导入至“受信任的根证书颁发机构”存储，并用certutil验证生效。
当Windows 11系统因长期未联网、证书存储损坏或企业环境策略限制导致无法自动更新根证书（如ISRG Root X1、DST Root CA X3等），访问使用Let’s Encrypt证书的网站会出现“不安全”警告或连接失败，此时需手动导入离线根证书更新包。
确认系统是否缺失关键根证书
打开浏览器（Edge或Chrome），访问 https://valid-isrgrootx1.letsencrypt.org/。若页面显示“此网站使用了不受信任的证书”或直接拒绝连接，说明系统未包含ISRG Root X1根证书；该证书是Let’s Encrypt当前主力信任锚点，缺失即影响绝大多数现代HTTPS服务。
若能正常打开且地址栏显示锁形图标，可跳过后续步骤——系统已具备基础信任链。
下载离线根证书文件（.cer 或 .der）
方法一：直接下载官方ISRG Root X1证书
在有网络的设备上，用浏览器打开 http://x1.i.lencr.org/，点击“保留”下载 isrgrootx1.der 文件（部分浏览器可能提示“不安全”，忽略并保存即可）。
方法二：从微软根证书程序包提取
访问微软官方更新目录（Microsoft Update Catalog），搜索关键词 KB5012479 或 Root Certificate Update，下载对应Windows 11版本的更新包（.cab格式）。解压后，在 \x64\RootCerts\ 目录下可找到多个 .cer 文件，其中 isrgrootx1.cer 和 dstrootcax3.cer 是关键补丁。
以管理员权限导入证书到受信任根证书存储
第一步：双击下载好的 isrgrootx1.der 文件（或 .cer 文件）
系统会弹出“证书导入向导”窗口。
第二步：点击“下一步”，在“证书存储”页面选择 “将所有的证书放入下列存储” → 点击“浏览” → 勾选 “受信任的根证书颁发机构” → 点击“确定” → 再点“下一步”。
第三步：点击“完成”。若弹出“安全警告”提示“您正试图安装一个证书”，请确认证书发布者为 Internet Security Research Group 后点击“是”。
【必须选中“受信任的根证书颁发机构”，否则证书不会生效】
第四步：重复上述流程，依次导入 dstrootcax3.cer（用于兼容旧签发链）及其他必要根证书（如需支持私有CA，另加其根证书）。
验证证书是否生效
打开命令提示符（无需管理员权限），执行：certutil -store "Root" ISRG
若输出中包含 ISRG Root X1 且状态为 Cert Hash(sha1)，说明证书已成功写入系统根存储。
重启浏览器或新建InPrivate窗口，再次访问 https://valid-isrgrootx1.letsencrypt.org/ —— 页面应正常加载且无证书错误。
