本指南讲解如何在 Windows 服务器上添加 "Sectigo Public Server Authentication Root R46/E46" 的交叉签名版本（由 "USERTrust RSA Certification Authority" 签发），并在存在该根证书的自签名版本时将其移除。

当自签名根证书仍保留在证书存储中时，Windows 可能会构建出一条与公共浏览器信任链不同的本地信任路径。其结果是：即便服务器证书本身有效，也会出现信任警告。

完成本指南后，你将：

将正确的交叉签名证书安装到对应的 Windows 证书存储

移除冲突的自签名根证书

验证 Windows 构建出预期的证书链

在 Microsoft IIS 中确认 SSL 绑定

完成这些步骤后，IIS 将呈现一条完整且受公共信任的证书链。

前提条件

你需要：

交叉签名中间证书文件（.crt、.cer 或 .p7b）

对运行 IIS 的 Windows 服务器的管理员访问权限

对本地计算机（Local Computer）证书存储的直接访问权限

请在实际的 IIS 服务器上执行这些步骤。

第 1 步 – 导入交叉签名中间证书

1. 将正确的交叉签名中间证书安装到计算机存储。

按下 Win + R

输入 certlm.msc

点击回车

这将打开本地计算机证书存储。

2. 导航到：中间证书颁发机构（Intermediate Certification Authorities）→ 证书（Certificates）

3. 右键点击证书 → 所有任务 → 导入

4. 证书导入向导启动。

选择下一步

浏览到已下载的交叉签名证书（RSA 用 R46，ECC 用 E46）

选择将所有的证书放入下列存储

确认选择中间证书颁发机构

完成向导

5. 根据你的密钥类型下载正确的交叉签名中间证书：

如果你的 SSL 证书使用 RSA，下载 Sectigo R46（sectigoR46_usertrust.zip）。

如果你的 SSL 证书使用 ECC，下载 Sectigo E46（sectigoE46_usertrust.zip）。

导入完成后，你应能在该文件夹中看到交叉签名证书。

如果它被导入到了其他位置，请删除并重新正确导入。不要让重复的证书四处散落。

第 2 步 – 移除自签名 R46/E46 根证书（如存在）

如果自签名的 R46 或 E46 根证书位于服务器的受信任的根证书存储中，请将其移除。参考上方截图找到自签名的 R46/E46 证书。

1. 打开：Certlm.msc

2. 进入：受信任的根证书颁发机构（Trusted Root Certification Authorities）→ 证书

3. 查找：

Sectigo Public Server Authentication Root R46

或

Sectigo Public Server Authentication Root E46

4. 检查颁发者列。如果该证书的颁发者是自己，那就是它。

5. 右键点击 → 删除

6. 确认。

将交叉签名版本保留在中间证书颁发机构中。只从受信任的根证书存储中移除自签名根副本。

第 3 步 – 将 SSL 证书导出为 PFX

你需要将叶子（域名）证书连同其私钥一起导出为 .pfx 文件，以便导入 IIS。

1. 打开以下任一：

certlm.msc（本地计算机），或

certmgr.msc（当前用户）

使用实际包含证书和私钥的那个存储。

2. 导航到：个人（Personal）→ 证书

3. 找到你的域名证书。

4. 右键点击 → 所有任务 → 导出

5. 按提示操作：

选择是，导出私钥

选择 .PFX

勾选：

如果可能，包括证书路径中的所有证书

导出所有扩展属性

启用证书隐私

设置一个强密码。

将文件保存在安全的地方。不要把它丢在共享桌面文件夹里就不管了。现在你拥有一个包含完整证书链的便携 PFX 文件。

第 4 步 – 将 PFX 导入 IIS 并完成绑定

使用 Certmgr.msc 导出 PFX 文件后，继续将新生成的 PFX 文件导入 IIS 管理器，然后按照以下步骤将证书分配给相应的网站。

1. 打开 IIS 管理器。

2. 在左侧点击服务器名称。

3. 双击服务器证书（Server Certificates）。

4. 在右侧面板点击导入（Import）。

5. 选择 PFX 文件，输入密码，点击确定。

6. 证书出现在列表后，将其绑定到站点。

导航到：网站（Sites）→ 你的网站

在右侧点击绑定（Bindings）。

7. 在"网站绑定"窗口中：

点击添加（如果 HTTPS 已存在则点击编辑）

类型：https

IP 地址：全部未分配（或正确的特定 IP）

端口：443

SSL 证书：选择新导入的证书

点击确定。

关闭绑定窗口。此时，IIS 已在使用新证书。

第 5 步 – 重启 IIS（可选但直接有效）

如果你希望更改立即应用于所有服务：

1. 以管理员身份打开命令提示符。

2. 运行：

iisreset

这会强制 IIS 重新加载。

3. 你也可以改为回收应用程序池，但在排查信任问题时，完整重置可以免去猜测。

第 6 步 – 验证证书链

一切就绪后，检查公共证书链。

使用外部 SSL 检测工具（SSL 安装检查器），输入你的域名并检查证书链。

你应该看到：

你的叶子证书

交叉签名中间证书

一个受信任的根证书

如果之前旧系统构建链失败，现在它们应能通过交叉签名路径正确构建证书链。

操作要点

导入到本地计算机存储，而非当前用户。

使用中间证书颁发机构，而非受信任的根。

除非私钥发生变化，否则不要在 IIS 中重新绑定证书。

如果 Windows 一直选择错误的证书链，请移除重复或遗留的中间证书。

IIS 不像 Apache 或 NGINX 那样使用手动链文件。Windows 根据其证书存储中已有的内容构建证书链。如果正确的交叉签名中间证书存在于中间证书存储中，IIS 会自动提供它。