错误源于根证书缺失或时间偏差，需依次校准系统时间、导入受信任根证书、重置证书存储、清除ssl缓存、验证证书链完整性。

如果您在访问网站、安装软件或执行系统更新时遇到“证书过期”提示，并伴随具体错误代码（如0x80096004、NET::ERR_CERT_DATE_INVALID等），则问题通常源于系统无法验证数字签名所依赖的根证书链——可能因根证书缺失、存储损坏或未正确导入所致。以下是针对性解决步骤：

一、校准系统日期与时间

SSL/TLS证书有效性严格绑定UTC时间戳，若本地系统时间偏差超过5分钟，将直接触发“证书已过期”或“尚未生效”的误判，所有后续证书验证均会失败。

1、右键点击任务栏右下角时间区域，选择“调整日期/时间”。

2、确保“自动设置时间”和“自动设置时区”开关均为开启状态。

3、点击“立即同步”，等待状态显示“同步成功”。

4、关闭所有浏览器及应用程序后重新尝试操作。

二、手动导入受信任的根证书（图形界面方式）

当目标服务使用新CA签发的证书，而Windows未预置其根证书时，需通过证书管理器将其显式添加至“受信任的根证书颁发机构”存储区，以建立完整信任链。

1、按Win + R键打开“运行”对话框，输入certmgr.msc并回车。

2、在左窗格依次展开“受信任的根证书颁发机构” → “证书”。

3、右键右侧空白区域，选择“所有任务” → “导入”。

4、在向导中点击“下一步”，点击“浏览”，定位到证书文件（.cer或.crt格式）。

5、确认存储位置为“受信任的根证书颁发机构”，完成导入。

三、命令行导入根证书（管理员权限执行）

适用于批量部署、脚本化修复或远程维护场景，可绕过图形界面限制，直接调用系统证书API写入指定存储。

1、以管理员身份运行命令提示符（cmd）或PowerShell。

2、执行以下命令导入单个根证书文件：
certutil -addstore "Root" C:\path\to\certificate.cer

3、若需从Windows Update同步最新根证书包，执行：
certutil -generateSSTFromWU roots.sst

4、双击生成的roots.sst文件，选择“受信任的根证书颁发机构”存储完成安装。

四、重置根证书存储并强制刷新

当现有“受信任的根证书颁发机构”存储出现条目损坏、重复或策略冲突时，系统可能拒绝加载新证书。此时需清空并重建默认信任库。

1、以管理员身份运行命令提示符。

2、依次执行以下命令：
certmgr.msc /s /r "Trusted Root Certification Authorities"

3、执行：
certutil -syncWithWU

4、重启计算机使变更全局生效。

五、清除SSL状态缓存与证书吊销列表（CRL）

Windows会本地缓存SSL会话参数及CRL检查结果，若缓存中存在已失效的吊销状态或过期会话票据，将干扰新证书的实时验证流程。

1、按Win + R键，输入inetcpl.cpl并回车。

2、切换到“内容”选项卡，点击“清除SSL状态”按钮。

3、点击“证书”按钮，在弹出窗口中选中可疑证书后点击“删除”。

4、关闭所有浏览器进程，重新启动后访问原网站。

六、验证证书链完整性（命令行诊断）

导入根证书后需确认整个证书链（根→中间→终端）是否被系统完整识别，避免因中间证书缺失导致验证中断。

1、以管理员身份运行PowerShell。

2、执行以下命令检查目标域名证书链：
Test-NetConnection example.com -Port 443 | Select-Object -ExpandProperty TcpTestSucceeded

3、若连接成功，进一步执行：
openssl s_client -connect example.com:443 -showcerts 2>&1 | findstr "subject issuer"

4、比对输出中的issuer与本地“受信任的根证书颁发机构”中是否存在对应subject。