apache不支持单个virtualhost配置多根证书，而应构造向下兼容的中间证书链（如合并isrg root x1与dst交叉签名证书），将域名证书、中间证书按序合并至sslcertificatefile，禁用已弃用的sslcertificatechainfile。
apache 本身不支持在单个 <virtualhost></virtualhost> 中“导入多个根证书”作为信任锚来同时服务不同客户端。它不会、也不能把多个根证书（如 isrg root x1 和 dst root ca x3）都当作“可选信任起点”发给浏览器。关键不是“多根”，而是构造一条能被新旧客户端共同接受的中间链。
下面说清楚怎么做：
证书链文件要包含哪些内容
SSLCertificateFile 指向的文件，必须是一个合并后的 PEM 文件，顺序固定：
- 第一行是你自己的域名证书（
example.com.crt） - 接着是所有必需的中间证书（按签发顺序，从下往上拼）
-
结尾不能放任何根证书（如
DST Root CA X3.crt或ISRG Root X1.crt）——这些由客户端内置，服务器发送反而可能引发兼容问题
例如正确结构：
-----BEGIN CERTIFICATE----- (你的域名证书) -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- (Let's Encrypt R3 中间证书) -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- (ISRG Root X1 交叉签名证书，即 R3 的签发者) -----END CERTIFICATE-----
注意：最后一项虽名为 “Root X1”，但实际是 R3 的上级中间证书（isrgrootx1.pem），不是真正的根证书；它本身由 DST Root CA X3 签发过（已作废但旧系统仍认），所以老客户端也能顺着链走到 DST。
不要误用 SSLCertificateChainFile
Apache 2.4.8+ 已弃用 SSLCertificateChainFile，统一用 SSLCertificateFile 加载完整链（含域名证 + 中间证）。若配置里还留着这行，建议删掉，只保留：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
SSLCertificateFile "/etc/ssl/certs/example.com-chain.pem" SSLCertificateKeyFile "/etc/ssl/private/example.com.key"
多域名或多品牌证书怎么办
如果你有多个独立签发的证书（比如一个用 Let’s Encrypt，另一个用 DigiCert），不能靠一个 VirtualHost 同时“混用两套链”。可行做法是：
- 每个域名用单独
<virtualhost></virtualhost>，各自配自己的证书链 - 或统一换用兼容性更强的中间包（如 DigiCert 提供的
DigiCertTLSRSASHA256G1.crt+DigiCertGlobalG2.crt组合，覆盖 Windows XP 到最新 Android） - 若必须共存，可通过 SNI 区分，但 Apache 不会主动切换链；客户端根据 SNI 域名拿到对应链即可
根证书该放在哪？
Apache 自身不验证自己，所以不需要、也不应该把根证书放进 SSLCertificateFile。只有在反向代理场景中，当 Apache 作为 HTTPS 客户端去访问后端服务时，才需指定信任的根：
-
SSLProxyCACertificateFile /path/to/trusted-ca-bundle.crt - 或
SSLProxyCACertificatePath /etc/ssl/certs/（需先运行c_rehash）
这个路径和 SSLCertificateFile 完全无关，别混淆。
不复杂但容易忽略
