IIS配置SSL证书的核心是确保证书正确导入本地计算机个人存储、私钥权限完整、证书链齐全，并在绑定时根据网络架构合理启用SNI；需检查HTTP.SYS注册、防火墙放行443端口及ALPN兼容性。
windows服务器上iis站点配ssl证书，核心不是“装证书”，而是“让iis正确加载并绑定到443端口的sni或ip绑定”——多数失败源于证书私钥权限丢失、证书链不完整、或绑定时未选中“需要服务器名称指示”（sni）导致https 503或err_ssl_protocol_error。
怎么导入PFX证书到本地计算机个人存储
证书必须导入到本地计算机（非当前用户），且存储位置为个人（Personal），否则IIS无法列出该证书。双击PFX文件会默认导入到当前用户，这是最常见错误。
- 用
certlm.msc打开本地计算机证书管理器（不是certmgr.msc） - 右键
个人 → 所有任务 → 导入，勾选根据证书内容自动选择存储，但务必确认最终位置是个人文件夹 - 导入时勾选
标记私钥为可导出（便于后续排查）；若提示“无法访问私钥”，说明PFX密码错误或系统策略禁用了密钥导出 - 导入后展开
个人 → 证书，检查证书是否带小钥匙图标——没有图标=私钥未关联，IIS绑定后会显示“无匹配证书”
为什么IIS绑定SSL后仍返回HTTP 503或浏览器报ERR_SSL_PROTOCOL_ERROR
这不是证书本身问题，而是IIS未真正启用HTTPS监听，或底层端口/防火墙/ALPN协商被阻断。
- 确认
World Wide Web Publishing Service和Windows Process Activation Service均已启动（仅重启IIS Manager不够） - 检查
netsh http show sslcert输出：若无对应IP:443条目，说明证书未注册到HTTP.SYS，需在IIS绑定后手动运行netsh http add sslcert ipport=0.0.0.0:443 certhash=xxx appid={xxx}（hash从证书详细信息→指纹复制，删除空格） - Windows防火墙必须放行
TCP 443，且规则作用域为任何计算机（非仅本地子网） - 若站点启用了HTTP/2，客户端（如Chrome）可能因ALPN协商失败静默降级失败——临时在IIS绑定中取消勾选
启用HTTP/2快速验证
如何处理“证书链不完整”导致Edge/Chrome提示“您的连接不是私密连接”
浏览器校验的是完整信任链，而IIS默认只发送站点证书，中间CA证书需手动补全。
- 用
certlm.msc导入PFX后，再手动将中间证书（通常由CA提供，如）导入到 中间认证机构存储区 - 导出站点证书时，选择
Base-64编码X.509(.CER)格式，双击打开→证书路径标签页，确认所有节点都显示“此证书已通过验证” - 若路径中断，说明中间证书缺失；此时需从CA官网下载对应中间证书（注意匹配根证书类型，如DST Root CA X3已停用，新证书应配ISRG Root X1）
- IIS本身不提供“证书链合并”功能，必须确保操作系统信任中间CA——可将中间证书也导入
受信任的根证书颁发机构（不推荐），更稳妥的是保持其在中间认证机构并确保Web服务器能读取
实际部署中最容易被忽略的点：绑定SSL时勾选了需要服务器名称指示（SNI），但旧版负载均衡器或某些CDN（如早期Cloudflare免费版）不支持SNI，结果只有部分用户能访问HTTPS；反之，若站点绑定了IP地址而非主机名，又没关SNI，IIS会拒绝绑定。这个开关不是“开就安全、关就危险”，而是取决于你的前端网络架构。
