SSL证书刚换好，自己打开网站一切正常，换个网络却有人收到安全警告。遇到这种情况，先把同一域名的IPv4和IPv6访问分开测试，再检查出错地址返回的证书。一次访问成功，只能说明这次连到的入口通过了检查，不能代表其他入口也配置正确。
收到反馈后，请访客保留地址栏里的完整网址和错误截图，补上发生时间、网络以及浏览器版本。后面的测试要能对应这份记录，否则技术人员测的是首页，访客出错的却是登录接口，双方说的根本不是同一个请求。
一、同一个域名，为什么会出现两种访问结果
查询应在报错的网络里做，整理成“记录类型—解析地址—接入服务”三列，A对应IPv4，AAAA对应IPv6，再带着结果回DNS控制台查配置。遇到CNAME或CDN代理，沿访客实际连接的地址查下去，源站地址不能代替外部入口。双栈网站的两组地址，有的共用服务器，有的分开接入负载均衡、代理或CDN。
为每份反馈补上实际连接地址，才能判断该次请求选中了哪一项解析结果。手机流量、WiFi这些网络名称，都不能直接填进IPv4或IPv6的测试分类。支持Happy Eyeballs的客户端会尝试不同地址，以减少等待时间，复现时更要确认本次连接到了哪里。
把两边实际返回的证书放到一起，才能看出部署差异。按本次更新清单核对，若计划更换的入口仍在返回旧证书，就找到了未完成的部署项。再拿签发记录核对从故障地址收到的证书，别把订单里的新文件，当成所有入口都已加载的证明。
二、先分别测试IPv4和IPv6，保留完整报错
把下面两条命令交给能直连网站、同时具备两类地址连通能力的电脑运行。Windows下保留curl.exe写法，将示例域名和路径替换成报错网址，两次只改变-4与-6：
curl.exe -4 -vI –noproxy “*” https://portal.example.com/
curl.exe -6 -vI –noproxy “*” https://portal.example.com/
-4和-6分别限定地址类型，-v输出连接过程，-I请求响应头。–noproxy “*”让curl直接连接，避免工具配置的代理影响判断；必须经过代理才能上网的环境，应另找具备直连条件的测试点。两次都保留输出，重点记录实际连接地址、证书验证错误和HTTP状态。
日志若只显示域名解析失败，先把解析结果补齐，尚无服务端证书可看。取得地址却连不到443，就检查路由、端口和服务监听。客户端拿到证书并给出验证错误后，再核对名称、日期和信任链。另外确认测试电脑是否有可用的IPv6出口，出口未通就先换测试网络。
如果收到405，先核对是否为HEAD请求被拒绝，再去掉-I获取页面内容，对比两次HTTP响应。证书校验和应用响应要分开记录：curl未使用–fail时，即便收到了404或500，也能正常结束这次传输，退出成功不能代替业务验收。
三、固定到具体IP测试，网址仍然保留域名
拿到首轮输出，先圈出失败请求实际连接的地址。再对照故障网络的解析结果，检查是否还有未测的A或AAAA地址。解析列表有三项、连接记录只有一项，就把剩下两项补测，不能用一次失败替整组地址下结论。
固定地址时，使用–resolve，而不是把网址里的域名改成IP。下面两个地址是文档示例，操作时替换为待查的真实地址，域名也要同步替换：
curl.exe -vI –noproxy “*” –resolve “portal.example.com:443:203.0.113.20” https://portal.example.com/
curl.exe -vI –noproxy “*” –resolve “portal.example.com:443:[2001:db8::20]” https://portal.example.com/
命令里的URL承担访问身份，SNI和证书名称检查都围绕这个域名进行，–resolve只接管本次连接地址。保持这两处域名一致，就能逐个入口复现同一站点的连接。用IP替换URL会改变身份检查目标，而HTTP Host头是在后续请求里发送的，不能代替握手时用于选证书的SNI。
给每个地址记一行结果：连接成功与否、返回证书的名称和到期时间、验证错误、页面响应。Windows版curl未列出证书详情时，用OpenSSL等工具指定相同地址和SNI读取该入口证书，补齐记录。若有人用-k获得页面，那份输出应注明跳过了验证，再按未加-k的命令复测，避免把绕过检查误记成证书已修复。
四、按实际返回的证书，找到配错的HTTPS入口
假如地址栏中是登录站点，收到的证书SAN却只列了另一个网站，就沿着这个IP检查站点绑定：目标域名是否参与匹配，没匹配上时又由哪个默认站点接走。SAN是证书的主题备用名称，核对这项内容，才能知道该证书是否覆盖本次访问名称。
如果单个地址仍在出示过期证书，先确定哪个服务负责这次TLS握手，再在那里更新。技术人员说的“TLS终止位置”，就是证书实际出示给客户端的地方。在架构图上标出这一层，能避免新证书已经装到源站，访客却一直连着前面的旧配置。
名称和日期对得上，仍提示信任链错误，就核对该入口发送的中间证书。两台电脑的验证结果不同，还要比较各自的证书缓存：一台存着可用中间证书，另一台需要从服务端取得，缺链配置就在后一台上暴露出来。把接收到的链保存下来，交接时就能对照缺少的是哪一级。
两边序列号不同，可以先把它们当作部署标记。各张证书分别通过域名、有效期和目标客户端的信任验证，就能继续用于相应入口；两边可以分别使用证书和私钥，不必追求指纹相同。
五、检查监听、负载均衡和CDN，找准修改位置
使用Nginx时，从失败地址的443监听反查server_name和证书路径，检查实际生效配置。磁盘上有一份写对的配置文件，不等于运行中的服务正在使用它。修改后做配置检查、加载配置，并从外部重建连接，核对客户端收到的证书是否随之改变。
负载均衡负责终止TLS时，把测试地址对应到具体监听器，再查看绑定证书。两个监听器能转发到同一套应用，却各自向访客出示证书，排查表应按监听器记录证书绑定。如果负载均衡只透传连接，就继续向后找实际负责TLS握手的服务。
采用HTTPS回源的CDN代理站点，可以先画出“浏览器→CDN”和“CDN→源站”两个箭头，分别填写连接名称、证书和验证结果。前面的curl输出填在第一个箭头下，第二个要按实际回源配置另查。浏览器在接入握手阶段报警，检查CDN加载的证书；接入验证通过而CDN报告回源校验失败，检查源站提供的证书。
六、修复后逐个复测，再用原来的故障网络验收
修复完成，按地址清单重跑固定IP测试，再用普通域名分别进行IPv4、IPv6访问。前者确认指定入口已修好，后者确认DNS仍把访问送往预期地址。若调整过解析，还要留意故障网络是否仍缓存旧地址，保留旧入口服务直到确认切换完成。
验收记录至少包括：测试时间、网络、域名、实际连接地址、证书验证结果和页面响应。登录页能打开，还要检查它依赖的接口；网站首页和API如果用了不同域名，需要分别验证，不能用首页正常替接口下结论。
验收收尾时，把最初那份错误记录拿回来：使用原网址，在原网络和浏览器重新访问，确认当时的错误不再出现。工单里同时附上固定入口、普通域名和原故障条件下的验证输出，方便下一次更新时对照。不能让访客关掉安全检查或禁用IPv6后，就把工单标为已经修复。
七、SSL证书与IPv4、IPv6访问常见问题
1、域名没有AAAA记录，curl -6失败要换证书吗？
不用。先核对网站的IPv6开通计划，以及故障网络是否取得了相应解析结果。目标地址尚未取得，就没有服务端证书可供校验。准备开通时，先把地址、路由、端口与HTTPS接好，再发布对应记录。
2、免费SSL证书能用于IPv6网站吗？
能。通过域名访问的网站，证书验证的是域名身份，IPv6不要求改用付费证书。证书在有效期内且覆盖访问名称，证书链受信任，并部署在实际接入服务上，就能用于该入口。
3、两个IP都指向同一台服务器，还要分别检查吗？
要。共用一台机器只说明部署位置相同，不能代替站点匹配检查。IPv6后来补上的网站，应从新增监听反查域名和证书绑定，再与IPv4结果对照，确认两边确实都在为目标站点服务。
4、自动续期成功后，为什么一个入口还显示旧证书？
把更新任务拆开看：拿到新证书、送到接入节点、加载到运行服务，三步缺一都影响部署。逐项核对任务覆盖范围和文件路径，再从外部建立新连接读取证书，才能确认更新结果已传递到访客这一端。
5、两类地址都通过验证，个别访客仍报SSL证书错误怎么办？
继续比较访客与测试环境：实际访问域名和地址是否相同，设备时间是否正确，系统信任库是否更新，代理或安全软件是否替换证书。让访客提供错误代码和收到的证书信息，再定位差异，不能仅凭双栈测试通过就结束排查。
相关阅读：SSL证书提示出错
