系统时间不准或时区错误导致SSL证书验证失败，须同步校准系统时间、设为Asia/Shanghai时区、启用chrony自动同步，并保持硬件时钟为UTC。

系统时间不准或时区设错，直接导致 SSL 证书验证失败——浏览器报 NET::ERR_CERT_DATE_INVALID 或移动端白屏，不是证书本身坏了，是服务器觉得自己“活在昨天”。必须先校准系统时间+正确设置时区，否则重签证书、换 Nginx 配置全是白忙。

timedatectl set-timezone Asia/Shanghai 是唯一稳的操作

宝塔面板里点“同步时间”没用？大概率是因为系统时区还是 Etc/UTC。面板不接管底层时区，它只是个网页壳子。改时区不能靠复制文件、也不能信 tzselect 这种交互式老工具——systemd 系统（CentOS 7+/Ubuntu 16.04+）只认 timedatectl。

• 执行 timedatectl 看当前状态，重点确认 Time zone: 行是不是 Asia/Shanghai (CST, +0800)
• 如果不是，直接运行：sudo timedatectl set-timezone Asia/Shanghai
• 别手动 ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime —— 这在新版系统上会被 systemd 覆盖，下次重启又变 UTC
• PHP/Python 应用仍显示 UTC？检查 php.ini 里有没有硬写 date.timezone = UTC，删掉；Python 别只用 datetime.now()，得用 datetime.now().astimezone()

ntpdate 已弃用，优先启用 chrony 自动同步

ntpdate 是单次命令，不驻留、不补偿漂移，且在 CentOS 8+/Debian 11+ 默认不带、甚至被移除。证书错误反复出现，往往是因为时间每天慢几秒，积少成多。chrony 才是现代 Linux 的标准答案。

• 安装：sudo yum install chrony -y（CentOS/RHEL）或 sudo apt install chrony -y（Ubuntu/Debian）
• 编辑 /etc/chrony.conf，把默认 server 行换成国内源，例如：server ntp.aliyun.com iburst
• 启动并开机自启：sudo systemctl enable chronyd && sudo systemctl start chronyd
• 验证：chronyc tracking 输出中 System clock status: synchronized 才算真正稳住

宝塔面板时间同步按钮只能“救急”，不能“救命”

面板设置页的【服务器时间】→【同步】按钮，本质就是调一次 ntpdate -s 或触发 systemd-timesyncd。它不改时区、不写硬件时钟、不设守护进程——关机再开机，时间又偏了，证书照样报错。

• 这个按钮只适合临时验证：比如刚装完系统，想快速看一眼时间对不对
• 如果点完它，timedatectl 显示 System clock synchronized: no，说明底层 NTP 服务根本没跑起来，得回头配 chrony
• Linux 工具箱里的“同步时间”开关，实际也是调 chrony 或 ntpd，但它依赖你先选对时区——没设 Asia/Shanghai 就点同步，结果仍是“同步成功，但时间还是错的”

硬件时钟（RTC）设为 UTC 是底线，别碰 local RTC

有些教程让你执行 timedatectl set-local-rtc 1，这是给双系统（Windows+Linux）共存的机器准备的。但服务器几乎都是纯 Linux，且宝塔、Nginx、OpenSSL 全按 UTC 解析证书有效期——如果你把 RTC 设成本地时间，每次重启都会加载一个“伪造”的北京时间，系统反而更乱。

• 务必执行：sudo timedatectl set-local-rtc 0（保持 RTC 为 UTC）
• chrony 会自动把校准后的时间同步到 RTC，不需要额外跑 hwclock -w
• 执行 sudo hwclock -r 查 RTC 时间，应和 timedatectl 里显示的 RTC time: 一致，且是 UTC 时间（比本地时间慢 8 小时）

证书报错不是证书的问题，是系统说自己“不在现在”。修时间不是点一下面板就能完的事——时区、NTP 守护进程、RTC 模式，三个环缺一不可。漏掉任何一个，过几天又得重来。