配置代理后，浏览器或程序出现“证书不受信任”“域名不匹配”“CERTIFICATE_VERIFY_FAILED”，最危险的处理方式是直接关闭证书校验。证书错误可能意味着系统时间错误、目标域名解析异常、SNI不匹配、中间证书缺失，也可能说明有设备正在进行企业批准或未经授权的TLS检查。
排障目标是确认你连到了谁、证书由谁签发、为什么不被当前信任库接受。
一、先识别错误属于哪一类
| 错误类型 | 常见提示 | 优先检查 |
|---|---|---|
| 不受信任 | unknown authority、自签名证书 | 证书链、根证书来源、企业策略 |
| 名称不匹配 | certificate name mismatch | 访问域名、SNI、DNS和证书SAN |
| 过期/尚未生效 | expired、not yet valid | 系统时间、证书有效期 |
| 握手失败 | TLS alert、protocol error | TLS版本、密码套件、SNI和中间设备 |
| 链不完整 | unable to get local issuer | 服务端中间证书和客户端信任库 |
二、普通HTTP代理是否能看到HTTPS内容
浏览器通过传统HTTP代理访问HTTPS时，通常先发送CONNECT，随后在隧道中直接与目标网站建立TLS。代理可以看到连接目标等元数据，但不应自然获得HTTPS明文。
如果企业安全网关执行经过批准的TLS检查，它会向客户端签发由企业根证书信任的替代证书，并在受管设备上有明确政策。来源不明的根证书或代理客户端要求安装证书，应停止并核实。
三、第一步先检查系统时间
证书有效期判断依赖系统时间。日期、时间或时区错误，可能让有效证书显示“尚未生效”或“已过期”。检查自动时间同步、时区和NTP状态，尤其是虚拟机、软路由和长期离线设备。
不要为了让页面打开而修改到一个错误日期；应恢复可信时间源。
四、域名和SNI为什么重要
TLS握手中，客户端通常发送SNI告诉服务器它要访问哪个域名。多个网站共享同一IP时，服务器依据SNI选择证书。若客户端直接使用IP、DNS解析到错误节点或代理修改了目标，服务器可能返回另一个域名的证书。
代理服务交付域名时，不要随意替换为解析IP。域名、DNS和证书的关系可参考代理主机域名、TTL与缓存排查。
五、如何查看实际证书
浏览器中可打开证书详情，记录：
- 主题备用名称SAN是否包含当前域名；
- 签发者和完整证书链；
- 有效期与当前系统时间；
- 证书指纹；
- 是否出现企业或安全软件的签发者。
与直连状态做对照时，应在授权网络和相同域名下比较。不要公开粘贴包含内部域名或敏感组织信息的完整截图。
六、为什么命令行失败但浏览器正常
浏览器、Python、Java、Node.js和系统组件可能使用不同信任库与代理设置。企业根证书安装在Windows信任库，不代表某个语言运行时自动读取；反过来，程序自带证书包也可能比系统更旧。
先确认程序读取哪套信任库、是否使用系统代理，以及目标域名是否相同。pip证书错误的具体案例见pip代理证书校验排查。
七、502和TLS错误如何区分
有时代理无法与目标完成TLS，向客户端返回502；有时CONNECT成功，客户端自己在隧道内报告证书错误。前者应查看代理响应和日志，后者应检查实际证书与客户端信任。
通用错误码分层见代理HTTP错误码排查。
八、企业TLS检查的正确边界
企业实施TLS检查应有明确政策、合法目的、最小范围、受管设备、根证书安全管理和例外规则。医疗、金融、个人隐私或证书固定应用可能需要绕过检查。员工不应自行安装根证书绕过组织流程，管理员也不应把私钥分发到普通设备。
九、绝对不要这样处理
- 在生产代码中设置
verify=False； - 忽略浏览器证书警告继续输入密码；
- 从群文件安装来源不明的根证书；
- 用IP替换域名以绕过名称不匹配；
- 把完整代理凭据和内部证书截图发到公开工单；
- 长期固定到某张叶子证书而没有更新机制。
十、安全排查顺序
- 确认访问域名和系统时间；
- 在授权条件下比较直连与代理；
- 检查DNS、CONNECT状态和实际证书；
- 核对SNI、SAN、签发者、证书链和信任库；
- 确认是否存在企业批准的TLS检查；
- 检查客户端运行时和证书包版本；
- 修复根因后恢复严格证书验证。
证书校验是确认通信对象的重要安全边界。任何“关闭校验就好了”的方案，都只是隐藏错误，而不是修复连接。
