換SSL 憑證後，客戶得到未信任的憑證

原由

這次，由於網站的 SSL 憑證到期了，更新了SSL 憑證。更換後，有一家公司抱怨瀏覽網站時，會出現「未信任的憑證」問題。

原因

只有這一位客戶哦！請客戶幫我們看一下憑證的問題，會出現「信任憑證授權單位無法確認這個憑證」的錯誤訊息。如下圖

檢視憑證路徑時，也少了一層根憑證。

客戶的電腦

正常的狀況

因此，我判斷 Baltimore CyberTrust Root 這個憑證並未在「 信任的根憑證」中。

Debug 步驟

為什麼別的客戶ok，單獨這位客戶有這樣的議題呢？我找到一某一台相同問題的電腦，特別先看了在「 信任的根憑證」中，也相同地沒有這張憑證。

接著，我瀏覽了該網頁，並以 Fiddler 錄下的 Request ，如下圖。

答案揭曉。原來當我們瀏覽一個https網頁時，windows 會幫我們檢查SSL 憑證。而SSL 憑證的 CA 尚未匯入時，且是公開常見的CA時，windows update 會自動匯入 CA 任證。

該客戶由於控管嚴格，連 windows update 的 IP 都使用防火牆封鎖了，造成憑證路徑不正確的問題。

結論

雖然只能檢視 https 網站這樣常見的動作，其後隱含了多少工作原理啊。這一次又學到新東西。