SSL证书链是什么？缺少SSL证书链有什么影响？

2026-03-11

在 AWS API Gateway 配置自定义域名时，上传 SSL 证书后，控制台可能会弹出一个刺眼的错误：

Certificate chain is missing or incomplete.
The certificate must include the intermediate CA certificates.

很多人会疑惑：证书不是上传成功了吗？为什么还要什么"证书链"？

一、什么是证书链？

想象一下这个场景：你去银行办业务，柜员要求你出示身份证。你递过去一张卡片，柜员看了一眼说："这张卡我无法验证真假，你需要再给我看发证机关的证明。"

SSL 证书也是同理。浏览器不认识你的证书，它需要一条信任链来验证：

你可能会问：为什么不直接用根证书签发服务器证书？

方式	安全性	风险
根证书直接签发	? 极低	根证书私钥一旦泄露，所有证书都失效
中间证书签发	? 高	中间证书泄露只影响该中间证书下的证书

中间证书就像"代理人"：根证书把签发权限委托给中间证书，自己则离线保存，大大降低风险。

API Gateway 是 AWS 中对证书链要求最严格的服务，原因如下：

API Gateway 在边缘位置处理 HTTPS 请求，需要向客户端出示完整的证书链。如果证书链不完整：