服务器没有完整发送需要的中间证书时，某些已有缓存的客户端可能正常，而另一些客户端报信任错误。应核对Nginx实际发送的证书链、域名和有效期，不要把电脑能打开当作证书部署完整的证明。
先记录报错类型和访问名称
保存受影响设备、系统、实际域名及错误提示。证书名称不符、时间错误、不受信任和协议不兼容并非同一个问题。确认是否访问了不同的www版本、旧IP或代理边缘节点，再判断是否为证书链缺失。
检查服务端真正发送的证书
使用受控诊断工具查看目标域名在正确SNI下返回的证书序列。控制面板里上传了某个文件，不代表正在监听的服务已经使用它。中间证书可能被其他客户端预先缓存，所以应比较服务端发送内容，而不是猜测设备“太旧”。
证书文件顺序与密钥分清
Nginx所用证书链文件应按其官方说明组织，服务器证书在前，后接相应中间证书。私钥是另一个受保护对象，不能把它加入公开下载或诊断报告。文件名叫fullchain并不自动证明内容完整且属于本次证书。
检查配置后重载并多端回归
保留原证书与配置，在确认文件、权限和密钥匹配后运行当前Nginx的配置检查，再按运维流程平滑重载。退出已有连接重新访问，同时核对根域、www及原受影响客户端；若CDN终止TLS，边缘和源站要分别检查。
关键区别
服务器证书：证明目标域名身份；先检查名称与期限。
中间证书：连接到可信链；部分客户端可能缓存。
私钥：受控保存的密钥；不得公开或放入证书链。
怎样确认处理到位
实际握手返回正确证书链，原受影响设备和其他访问名称均通过验证，服务无配置或权限错误。
容易误判的边界
如果错误是域名不匹配、系统时间异常或CDN证书问题，补中间证书不会自动修好。
References
Nginx：Configuring HTTPS Servers
