CERT_HAS_EXPIRED：Node.js 报 certificate has expired

certificate has expired（CERT_HAS_EXPIRED）的意思是：按客户端的时钟判断，Node.js 构建的证书链里有一张证书已经过了到期时间。 通常是服务器证书本身没续期；有时是服务器还在发送一张过期的中间证书，或者客户端的日期不对。

快速修复

多数情况是服务器证书没续期，续期并重载 Web 服务器即可。先查看服务器证书的日期和本机时间：

date -u
openssl s_client -connect api.example.com:443 -servername api.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -startdate -enddate

• notAfter 已经过去： 续期证书，连同完整证书链一起部署，然后重载 Web 服务器。
• 站点证书没过期： 用 -showcerts 检查服务器发送的每一张证书，把过期的中间证书从证书包里去掉。
• 本机时间不对： 修复客户端时间同步（systemd 的 Linux 上执行 timedatectl set-ntp true）。

原因

最常见的是服务器证书没续期，其次是证书包里有过期的中间证书，再次是客户端时钟错误。

1. 服务器证书过期

• 确认： 上面的命令显示 notAfter 早于现在；SSL 检测工具提示已过期。
• 修复： 续期。ACME 客户端执行 certbot renew 或 acme.sh --renew -d example.com，并确认有部署钩子重载 Nginx 或 Apache。续期“成功”了但还是旧证书，说明 Web 服务器没重载，或者引用的是另一份副本。阿里云、腾讯云的免费证书到期后需要重新申请并重新部署。

2. 证书包里有过期的中间证书或旧交叉签名

有些服务器在旧链路的中间证书或交叉签名证书过期后，仍然把它们发给客户端。路径构建方式不同的客户端就会失败。

• 确认： -showcerts 列出的除站点证书外，还有一张 notAfter 已过期。
• 修复： 按 CA 当前的中间证书重新拼接证书链（可以用证书链补全工具），去掉过期的那张。

3. 客户端时钟错误

宿主机没开时间同步的容器、从快照恢复的虚拟机、嵌入式设备，日期经常是错的。

• 确认： date -u 和真实时间差很多；访问其他 HTTPS 网站也报同样的错。
• 修复： 在宿主机开启 NTP（chrony、systemd-timesyncd），国内可以用阿里云、腾讯云提供的 NTP 服务器；容器使用宿主机时钟。

4. Node.js 根证书过旧或镜像地址过时

很老的 Node.js 版本内置的根证书列表里还有、或者依赖已过期的根证书。已停用的旧镜像域名、旧 API 域名也可能出示过期证书。

• 修复： 升级到仍在维护的 Node.js LTS 版本，更新配置里过时的地址（npm 用 npm config get registry 检查）。

各环境修法

防止再次过期靠三件事：自动续期、续期后自动重载、手动上传的证书改用托管证书。

Certbot： sudo certbot renew --deploy-hook "systemctl reload nginx"；用 systemctl list-timers | grep certbot 确认定时器在运行。

宝塔面板： 在站点 SSL 页面确认“自动续签”已开启，并查看续签日志；续签失败常见原因是 80 端口不通或域名解析变了。

Kubernetes： 检查 TLS Secret 里的证书和 cert-manager 状态，见 cert-manager 证书一直不 Ready。

云负载均衡和 CDN： 手动上传的证书不会自己续期，改用云厂商的托管证书，或者用脚本自动上传。

无法升级的老客户端： 老设备或老运行时验证不了当前证书链时，只能升级，没有安全地“接受过期证书”的办法。

不要这样做

关闭校验、回拨时钟和置之不理，都会掩盖问题或把问题扩大到别处。

• 用 NODE_TLS_REJECT_UNAUTHORIZED=0 绕过过期证书。 它关掉的是全部校验，不只是日期检查。
• 把系统时间往回调。 其他证书、日志、令牌校验都会跟着出问题。
• 因为“只有 Node.js 报错”就不管。 手机 App、合作方的接口调用等其他非浏览器客户端同样在失败。