宝塔配置SSL出现中间证书（Intermediate Certificate）报错，核心原因是服务端下发的证书链不完整，导致微信小程序、部分安卓设备或第三方支付API无法验证信任链。只需将“站点域名证书”与“CA中间证书”按从上到下的顺序拼接后，粘贴至面板「网站 → 站点设置 → SSL → 其他证书」的“证书(PEM格式)”框中保存并重载Web服务即可彻底修复。
为什么配置宝塔SSL会出现中间证书缺失报错？
在日常运维中，很多站长遇到过一种诡异现象：网站配置HTTPS后，用电脑端的Chrome或Edge浏览器访问一切正常，绿锁标志完好；但一旦接入微信小程序、支付宝/微信支付异步回调（如 /pay/notify），或者使用老旧安卓手机、服务端 curl 脚本调用接口时，却频繁报错 SSL certificate problem: unable to get local issuer certificate 或提示“证书不受信任”。
这正是典型的 Intermediate Certificate（中间证书）缺失 故障。要理解该问题，需要明确SSL/TLS的信任链验证机制：
- 根证书（Root CA）：内置在操作系统或浏览器受信任库中，处于信任链顶端。
- 中间证书（Intermediate CA）：由根证书签发，专门用于向下签发具体的域名证书，起到隔离保护根证书的作用。
- 服务器域名证书（End-Entity Certificate）：站长实际申请绑定的站点证书。
当客户端发起HTTPS握手时，服务器必须同时下发「域名证书 + 中间证书」。桌面端现代浏览器通常具备“AIA（Authority Information Access）自动补全”能力，发现缺失中间证书时会根据证书内的URL自动去CA机构下载，因此电脑访问不报错；但微信小程序底层、Java/Python/PHP后端请求库以及移动端WebView 不会自动下载中间证书，一旦服务端未下发完整证书链，握手就会立即中断。
在Linux环境下（当前主流同步版本为 v13.1.0），面板默认的站点证书存放在 /www/server/panel/vhost/cert/你的站点名/ 目录下，核心文件有两个：
privkey.pem：证书私钥文件；fullchain.pem：完整证书链文件（必须在同一文件内包含站点证书与中间证书）。
许多站长在腾讯云、阿里云或第三方SSL平台下载Nginx格式证书后，只打开了 .crt 或 .pem 主文件复制进去，或者下载了Apache格式只提取了第一段站点证书而漏掉了 _chain.crt 中间证书文件，从而导致 fullchain.pem 名不副实，仅有单层证书。
如何用日志和终端命令在 3 分钟内定位真实根因，而不是盲目重启服务？
遇到HTTPS接口请求不通或小程序报错，切忌盲目重启Nginx或服务器。重启不仅无法补全缺失的文本块，反而可能中断正在进行的线上业务连接。建议通过SSH终端与面板日志，在 3 分钟内完成精准定性。
第一步：统计本地 fullchain.pem 中的证书块数量
登录服务器SSH终端，检查对应站点证书目录下的 fullchain.pem 包含几个 BEGIN CERTIFICATE 段落。正常的完整证书链应当至少包含 2个或3个 证书块（第1个为域名证书，第2、3个为中间证书）。
如果直接查看面板配置，可打开「网站 → 对应站点 → SSL → 其他证书」，观察右侧“证书(PEM格式)”输入框。若框内只有唯一的一段 -----BEGIN CERTIFICATE----- 到 -----END CERTIFICATE-----，则直接坐实中间证书缺失。
第二步：使用 OpenSSL 验证线上握手的证书层级
在服务器终端或本地调试机查看当前443端口实际吐出的证书链结构，同时可配合面板内置的命令行工具箱排查面板基础状态：
bt在确认面板及Web服务运行正常后，检查Nginx配置文件中引用的证书路径与实际生效情况。标准的面板Nginx站点SSL配置片段（位于 /www/server/panel/vhost/nginx/站点名.conf）如下：
#SSL-START SSL相关配置，请勿删除或修改下一行带注释的404规则
#error_page 404/404.html;
ssl_certificate /www/server/panel/vhost/cert/example.com/fullchain.pem;
ssl_certificate_key /www/server/panel/vhost/cert/example.com/privkey.pem;
ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
add_header Strict-Transport-Security "max-age=31536000";
error_page 497 https://$host$request_uri;
#SSL-END如果 fullchain.pem 文件内容只有单层，客户端抓包或握手日志就会报出 verify error:num=20:unable to get local issuer certificate 以及 verify error:num=21:unable to verify the first certificate。若在排查HTTPS故障时同时伴随上游PHP响应超时，可结合宝塔面板网站出现 502 Bad Gateway 怎么排查？PHP 并发与日志定位一并核验 /www/wwwlogs/ 下的站点错误日志。
宝塔面板手动补全Intermediate SSL中间证书的标准步骤
确认中间证书缺失后，无需重新签发证书，只需按标准顺序将证书链拼接完整即可。
1. 获取正确的中间证书文件
根据你下载证书时选择的服务器类型，获取方式略有不同：
- 下载的是 Nginx 压缩包：通常包含
.pem（或_bundle.crt）和.key两个文件。正规CA机构（如 DigiCert、Sectigo、TrustAsia）打包的_bundle.pem默认已经把域名证书和中间证书拼接好了。若你只复制了未带bundle后缀的单证书文件，请改用_bundle.pem。 - 下载的是 Apache 压缩包：通常会拆分为 3 个文件：
domain.crt（域名证书）、domain_chain.crt（或intermediate.crt，即中间证书）以及domain.key（私钥）。此时需要手动将前两个文件合并。
2. 严格按照“上主下中”顺序拼接 PEM 内容
用记事本或 VS Code、Sublime Text 等纯文本编辑器打开证书文件（切勿使用 Word 等富文本软件，以免引入隐形格式字符）。拼接规则如下：
- 第一段（最上方）：必须是你的 站点域名证书；
- 第二段（紧跟其下）：必须是 CA 中间证书（Intermediate Certificate）；
- 第三段（可选）：部分多级交叉签名的证书会有二级中间证书，排在最下方。
规范的 fullchain.pem 文本结构示例如下：
-----BEGIN CERTIFICATE-----
MIIFazCCBFOgAwIBAgISA8...(此处为第一段：你的网站域名证书内容)...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIIFjTCCA3WgAwIBAgIRAN...(此处为第二段：CA机构的Intermediate中间证书内容)...
-----END CERTIFICATE-----3. 填入面板并重载 Web 服务
- 登录面板后台，依次点击左侧菜单「网站 → 找到目标站点 → 点击右侧“设置” → 切换到“SSL”选项卡 → 选择“其他证书”」。
- 密钥(KEY) 框：保持原有的私钥内容（
-----BEGIN PRIVATE KEY-----或-----BEGIN RSA PRIVATE KEY-----）不变。 - 证书(PEM格式) 框：全选清空原有残缺内容，将刚才拼接好、包含至少两段
BEGIN CERTIFICATE的完整文本粘贴进去。 - 点击底部「保存」按钮，随后点击「重载配置」或前往「软件商店 → 已安装 → Nginx/Apache → 重载配置」使完整证书链立即生效。
如果你管理的是多子域名业务，希望从源头避免频繁手动下载与拼接单域名证书，可以参考宝塔企业版/专业版怎么申请通配符泛域名 SSL 证书并配置自动续期与 WAF 防护？配置自动化泛解析续签。
手动临时修复与开启企业版插件长期防护的边界分别是什么？
很多运维人员会关心：解决SSL证书链问题，到底用免费版手动维护就够了，还是有必要升级专业版或企业版？这取决于你的站点规模、证书类型以及合规防护要求。
下表从证书链维护、自动续签、安全防护联动及排障成本四个维度进行了客观对比：
| 对比维度 | 手动拼接证书 / 宝塔免费版 | 宝塔专业版 / 企业版插件方案 |
|---|---|---|
| 证书链完整度保障 | 使用内置Let's Encrypt自动申请时默认拉取完整链；但外部导入商业证书需手动核对拼接，易漏中间链 | 支持面板内商用SSL一站式申购与自动部署，自动补齐Intermediate中间证书链，规避人工拼接失误 |
| 多站点与泛域名续期 | 免费版支持基础Let's Encrypt续签，但跨平台商业证书到期需逐台服务器手动替换与重载 | 配合商用证书管理、多节点「数据同步工具」（企业版专属），一次更新自动同步多台负载节点证书 |
| 证书目录防篡改与权限保护 | 依赖Linux基础chmod文件权限控制，若Web应用存在漏洞被提权，私钥与证书存在被恶意替换风险 | 企业版提供「网站防篡改」与「系统加固」插件，可锁死 /www/server/panel/vhost/cert 等核心配置目录 |
| HTTPS 解密后流量防护 | 仅完成SSL加解密握手，无法识别裹挟在HTTPS加密通道内的CC攻击、SQL注入与恶意爬虫 | 解锁「Nginx/Apache网站防火墙(WAF)」与「网站监控报表」，在SSL卸载后实时拦截应用层攻击 |
客观选型建议：什么情况免费版就够用？
但当你的生产环境处于以下场景时，单纯靠人工拼接证书和免费版基础功能往往捉襟见肘，此时开启专业版或企业版授权更具性价比：
- 小程序、App后端与支付强校验场景：使用 OV/EV 商业证书或泛域名证书，且服务器节点多，利用企业版的「数据同步工具」与「负载均衡」插件可避免某台节点漏配中间证书导致偶发性接口报错。
- 防止HTTPS成为攻击盲区：开启SSL后，传统的云厂商基础网络层防护难以清洗加密后的HTTPS CC攻击。在面板「软件商店 → 企业版插件 → Nginx 网站防火墙 → 站点配置」中开启WAF，才能在Nginx完成SSL握手解密的第一时间拦截恶意请求。关于安全防线的完整构建，可查阅宝塔面板生产环境安全加固与防篡改全景指南。
- 核心配置文件防篡改：防止黑客通过WebShell篡改Nginx配置或盗取SSL私钥。
对于正在运行免费版 Linux 面板（当前同步版本 v13.1.0）的服务器，若需解锁上述企业级插件，无需重装系统或重新配置SSL证书。在本站（首页）绑定服务器公网 IPv4（固定 IP 永久授权为 ¥19.99/台，支持自助更换 10 次 IP 的可换 IP 永久授权为 ¥88.88/台）后，直接在 SSH 终端执行以下无损升级命令即可平滑激活：
setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &如果是海外服务器运行国际版 aaPanel（当前版本 v8.0.7），同样支持在线无损升级 PRO 版：
setsid bash -c "curl -s https://baota.in/install/update_panel_en.sh | bash" &执行完成后刷新面板，在左上角或「面板设置」页即可核对版本标识与企业版授权状态；原有的网站数据、数据库以及刚刚修复好的 fullchain.pem SSL证书配置均完整保留。若需了解各版本的详细插件差异，可进一步阅读宝塔永久企业版与专业版完全选型指南（总览）或查看配套安装文档 https://baota.in/tutorial.html。