解决Windows IIS 服务器 2025年6月 Sectigo SSL证书不可信，证书链不完整的

Sectigo 在2025年上半年更新了其 SMIME 证书以及DV  OV EV SSL证书的中间证书，以大量用户使用的PsoitiveSSL DV SSL证书为例，原来的证书链是:  

服务器证书 -> 
Sectigo RSA Domain Validation Secure Server CA -> 
USERTrust RSA Certification Authority

从2025年6月开始新签发的 PsoitiveSSL DV SSL证书 的RSA证书链变为

服务器证书 -> 
Server?Authentication?CA?DV?R36 -> 
Sectigo?Public?Server?Authentication?Root?R46 -> 
USERTrust RSA Certification Authority

可以看到新的证书链里面有两个中间证书  

Server?Authentication?CA?DV?R36 
Sectigo?Public?Server?Authentication?Root?R46  

其中 Sectigo?Public?Server?Authentication?Root?R46 是交叉签名证书

交叉签名证书是由新旧根证书共同签发的中间证书，确保旧设备在信任新根证书前仍能验证SSL证书的合法性，实现根证书的平滑升级

在Windows 服务器上安装新证书链的证书后，有可能遇到“不受信任的链接”的错误提示，通常是在部分较老版本的移动设备才会遇到这个情况，或者通过SSL证书安装检测才会发现这个问题 

碰到这个问题我们通常会在服务器上通过MMC控制台导入这个中间证书， 这个操作就能解决Windows 服务器上证书链不完整的问题。

出现这个情况的原因是，很多SSL证书存在多个证书链，Windows服务器在SSL握手过程中会优先发送最短路径的证书链，而最短的证书链并不一定是兼容性最好的证书链。所以我们要做的就是不让windows 发送最短的证书链，而是让他发送兼容性最好的证书链

要解决这个问题，需要在安装SSL证书的 Windows 服务器上

1. 导入 Sectigo?Public?Server?Authentication?Root?R46 中间证书 
下载网址 https://crt.sh/?d=11405654893 
也可以从证书管理面板的证书详情页下载证书后，解压，在other 目录里 找到文件名为  SectigoPublicServerAuthenticationRootR46 的证书

2.  禁用 Sectigo?Public?Server?Authentication?Root?R46 根证书

3. 把 Sectigo?Public?Server?Authentication?Root?R46 根证书导入到不可信证书列表里面

这两个证书的名称是一样的，但是并不是同一个证书，关于这个证书的详情可以查看 https://crt.sh/?caid=204203

下面介绍具体操作方法

1.点击 Win + R ，在弹出的允许窗口中输入 mmc ，打开 控制台面板

2. 点击文件，选择 添加删除管理单元

3. 选择证书，点击添加 

4.选择 计算机账户

操作1： 导入 Sectigo?Public?Server?Authentication?Root?R46 中间证书

点击 中间证书颁发机构，右键点击证书，选择所有任务，点击导入

选中要导入的R46中间证书，点击下一步

点击下一步，然后点击完成，会提示导入成功

现在我们会在中间证书列表里面看到刚才导入的R46中间证书

操作2： 禁用R46根证书

点击 受信任的根证书颁发机构，点击证书，在右侧的证书列表里面找到 R46根证书，右键点击该证书，选择 禁用此证书的所有目的，点击确定

3. 把R46根证书导入不可信证书列表里面

完成上面两部操作，暂时能够解决证书不可信的问题，但是因为Windows 的更新机制问题，过些时间R46根证书可能会被相同自动重新启用，又会造成发送不完整证书链的问题，所以还需要把R46根证书加入不可信证书列表里面

先导出R46根证书，参考上面的图片，右键点击刚才已经禁用的证书，选中“导出证书”，接下来的步骤按默认选项导出该证书。

然后右键点击 不可信的证书 ->  所有任务 -> 导入 ，下一步，选中刚才导出的证书，下一步，完成

完成上面三部操作后，重启服务器让以上设置生效。通过以上操作就能够解决Winidows 服务器上的 证书链不完整的问题，上面的操作适用于 Sectigo 的 DV OV EV 使用  RSA算法的SSL证书，目前大多数网站采用的RSA算法的证书。

如果你安装的SSL证书是ECC算法的，那要导入的是 Sectigo?Public?Server?Authentication?Root?E46 中间证书，禁用E46根证书。

1. 导入 Sectigo?Public?Server?Authentication?Root?E46 中间证书 
下载网址  https://crt.sh/?d=11405664274 
也可以从证书管理面板的证书详情页下载证书后，解压，在other 目录里 找到文件名为  SectigoPublicServerAuthenticationRootE46 的证书

2.  禁用 Sectigo?Public?Server?Authentication?Root?E46 根证书

3. Sectigo?Public?Server?Authentication?Root?E46 根证书导入到不可信的证书列表里面