點解 Windows 無法建立受信任嘅憑證鏈？

您好，

可以先使用 Windows 內建的 certutil 檢查憑證鏈，判斷問題是否來自中間 CA 缺失、根憑證不受信任，或 CRL／OCSP 撤銷狀態無法取得。

在管理員命令提示字元執行：

certutil -verify -urlfetch server.cer

這會驗證憑證鏈及撤銷狀態，並嘗試透過 AIA、CDP 等 URL 取得所需憑證及 CRL。留意 CERT_E_UNTRUSTEDROOT、CERT_E_CHAINING、CRYPT_E_REVOCATION_OFFLINE 等錯誤，它們分別可能指向根憑證不受信任、憑證鏈不完整，或撤銷檢查端點無法存取。

接著執行 certlm.msc，檢查 Local Computer > Intermediate Certification Authorities 是否有正確的中間 CA，以及 Trusted Root Certification Authorities 是否包含預期的根 CA。企業環境亦應檢查 Group Policy 是否部署了錯誤或不一致的憑證信任設定。注意：中間憑證應安裝在 Intermediate Certification Authorities，而不是 Trusted Root。

若仍無法確定原因，可以開啟 Event Viewer：

Applications and Services Logs > Microsoft > Windows > CAPI2 > Operational

啟用記錄後重新測試連線，重點查看 Event ID 11（憑證鏈建立失敗）、30（鏈政策驗證）及 50–53（CRL 網路存取）。這些事件有助於確認失敗發生在哪個憑證或驗證階段。

想進一步確認問題，請問這次失敗的是 內部企業 CA 簽發的憑證，還是公開 CA 簽發的憑證？另外，如果能提供 certutil -verify -urlfetch 的錯誤輸出，就能更準確判斷問題所在。

希望以上資訊對你有所幫助。如果答案有助於你理解及解決問題，歡迎採納。如有其他疑問，隨時留言。祝你有愉快的一天！

Domic Vo.