小火箭证书错误怎么处理？2026 分场景排查指南

更新于 2026-11-01 · shoujijiasu.com

简答：小火箭证书错误先看发生环节：订阅更新查链接和时间，节点连接查 TLS、Server Name 与证书，MitM 解密查已安装证书和系统信任；不要把关闭校验当长期修复。

定义：小火箭证书错误，是客户端在建立 HTTPS/TLS 连接时无法确认对端证书的有效期、域名、信任链或本机时间所产生的报错。

先用一分钟判断：错误发生在哪一步

更新于 2026 年 11 月 1 日。小火箭提示证书错误，不一定代表同一个问题。先记录错误出现的位置、完整英文报错、当前使用的网络，以及是否刚更换订阅或节点。

小火箭证书错误的快速分流表

出现环节	优先检查	先不要做什么
添加或更新订阅时	订阅链接是否完整、HTTPS 地址是否仍有效、设备日期时间是否正确	不要把订阅地址当成节点服务器地址填写
单个节点测速或连接时	Server、Port、TLS、Server Name、Host、Path 是否与原始配置一致	不要随意把 Server Name 改成正在访问的网站域名
开启 HTTPS 解密或 MitM 后	是否为本人或组织授权的调试、证书是否已安装并开启信任	不要为普通订阅连接安装来历不明的根证书
浏览器访问某个网站时	区分代理服务器证书错误与目标网站证书警告	不要仅凭一次网页打开判断所有流量都已正常代理

证书校验至少涉及证书有效期、证书名称、信任链和设备时间。Apple 对 TLS 信任评估也明确列出了这些检查项；如果错误关键词不清楚，可先保留原文再继续分流。参考 Apple 关于安全网络连接的说明和 Apple Secure Transport 错误代码。

小火箭证书错误的最短排查步骤

先备份当前配置。不要立即删除订阅、节点或配置文件。记录配置名称、错误文本、出现时间和当前网络；订阅链接、密码、UUID、私钥、Cookie 等敏感内容不要截图公开。
检查 iPhone 时间。打开“设置”→“通用”→“日期与时间”，确认“自动设置”已开启，并检查时区是否正确。Apple 建议设备连接互联网后使用自动设置；若时间仍不正确，再按系统提示处理。可参考 Apple 关于日期、时间和时区的支持说明。
重新复现并区分范围。只测试原来报错的订阅、节点或解密配置，不要同时修改 DNS、规则、协议和路由模式。记录“订阅更新失败”“节点握手失败”或“网页访问警告”中的具体一种结果。
核对原始参数。如果只有某个节点报错，应以服务商提供的原始配置为准，逐项比较 Server、Port、TLS、Server Name、Host、Path、协议类型和认证信息。Shadowrocket 相关协议资料也强调，Server、TLS Server Name、Host 和 Path 属于不同层级，不能因为字段都接受域名就全部填写相同内容，参见 Shadowrocket 协议与传输参数说明。
只改一个变量后复测。先恢复与原始配置一致的值，再进行一次连接测试；如果仍失败，换一条已知可用的配置或直连网络做对照。一次只改变一个字段，才能判断是证书、网络还是认证参数导致。
完成后回滚临时改动。如果为排查暂时切换了网络、路由模式或调试证书，测试结束后恢复原配置；不需要 MitM 时，应停用相关解密功能并移除不再使用的证书配置。

按报错关键词处理：过期、域名不匹配还是未知 CA

常见证书报错与处理方向

报错关键词	通常说明	可执行处理
`certificate has expired` 或 `cert expired`	证书已经超过有效期，也可能是设备时间明显错误	先检查自动日期与时间；时间正确后仍报错，应把错误时间和节点信息交给服务商核查证书续期
`hostname mismatch` 或 `name mismatch`	连接使用的名称与证书覆盖的域名不一致	核对原始配置中的 Server Name、服务器地址和 Host；不要自行改成目标网站域名
`unknown ca`、`no root cert`	设备无法把证书链追溯到受信任的根证书	普通节点连接应优先让服务端修复证书链；只有在明确授权的 MitM 调试场景，才检查对应根证书是否由可信来源安装
`ssl handshake failed`	TLS 握手阶段失败，原因可能是名称、时间、证书链、传输或服务端配置	先固定网络和节点，逐项核对 TLS、Server Name、Host、Path 与原始参数，再让服务端核查证书状态
浏览器显示证书警告	可能是目标网站证书问题，也可能是代理链路中的证书问题	对比直连与代理、不同网络和不同网站；不要仅凭一个页面判断整个连接链路

Apple 的安全连接文档将证书签名、有效期、DNS 名称匹配和可信根证书列为服务器身份验证的重要条件。因此，看到“证书错误”时，优先修复时间、名称、信任链或服务端证书，而不是绕过验证。参考 Apple TLS 信任评估说明。

订阅更新时报证书错误：不要先重装客户端

如果错误出现在订阅添加或更新阶段，问题发生在“客户端访问订阅地址”这条链路上，不等同于某个节点的 TLS 证书错误。建议按以下顺序检查：

确认订阅链接复制完整，没有前后空格、换行或被聊天软件截断。
确认链接仍是服务商提供的地址，并核对是否发生域名变更、订阅到期或访问权限变化；这些状态需要以服务商当前说明为准，无法从客户端单独推断。
在浏览器中只做可达性对照，不要把浏览器能打开页面当成订阅一定能被客户端解析。
分别用 Wi-Fi 和蜂窝数据复测，记录哪一种网络失败；不要同时切换多个 DNS 或规则。
如果只有该订阅地址失败，把脱敏后的错误关键词、发生时间、网络类型和客户端版本提供给服务商，不要发送完整订阅链接。

如果订阅更新失败但旧节点仍能连接，先保留旧配置，不要立即删除。这样可以把“订阅地址问题”和“节点连接问题”分开验证。

节点连接时报证书错误：核对 TLS 参数和服务端状态

单个节点报错而其他节点正常时，优先怀疑该节点的参数或服务端证书，而不是先重置整个客户端。先打开当前节点的详情页；由于不同版本的界面名称和位置可能变化，菜单路径需以当前应用显示为准。

Server：核对服务器地址是否来自原始配置。
Port：核对端口，不要根据常见端口猜测。
TLS：确认是否应开启，以及服务端是否确实提供 TLS。
Server Name：按原始配置填写，用于 TLS 名称识别和证书匹配。
Host、Path：只在原始传输方式要求时填写，大小写、前导斜杠和路径结构都要保持一致。
认证字段：密码、UUID、密钥等应从原始配置复制，不要用节点名称代替。

如果参数完全一致、设备时间正确，但仍出现过期、未知 CA 或域名不匹配，应由服务端检查证书有效期、证书链和部署域名。客户端本地无法安全地修复服务端证书失效。

MitM 证书不受信任：只用于明确授权的调试

MitM 或 HTTPS 解密证书与普通订阅节点证书不是一回事。它通常用于本人设备、本人服务或组织授权的调试；不应为了让普通节点连接成功而安装未知来源的根证书。

在 iPhone 上，手动安装的证书不会自动获得 SSL/TLS 完全信任。Apple 给出的检查位置是“设置”→“通用”→“关于本机”→“证书信任设置”，再对已确认来源的根证书开启信任；如果看不到该选项，通常表示设备没有安装额外根证书。参考 Apple 手动安装证书的信任说明。

确认调试对象、证书来源和授权范围。
安装前查看证书名称和来源，不安装无法核验的文件。
完成测试后关闭不再需要的 HTTPS 解密功能。
在“设置”中的证书或设备管理位置移除不再使用的配置，并回到“证书信任设置”检查是否仍保持完全信任。

不要把“开启完全信任”当成修复服务器证书错误的通用办法。它只解决特定调试证书未被系统信任的问题，不能修复服务端证书过期、域名不匹配或订阅链接失效。

最后仍未解决：准备一份脱敏排障记录

联系服务商或继续排查时，建议提供以下信息：错误原文、出现环节、发生日期和时间、Wi-Fi 或蜂窝数据、是否所有节点都失败、是否更换过网络、设备系统版本、客户端版本，以及已尝试过的步骤。

提交前删除订阅完整地址、密码、UUID、私钥、Cookie、个人账号和完整配置文件。若需要截图，只保留错误关键词和非敏感的设置名称。排障记录的目的，是让对方判断证书过期、域名不匹配、证书链缺失或网络路径问题，而不是公开可复用的连接凭据。

常见问题