证书停止线
过期、未知签发与系统时间错误怎样区分
分类观察但所有未解决告警都保持停止。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
证书过期、尚未生效、未知签发链和设备时间错误需要分别观察，因为它们依赖的证据不同；但任何未解决告警都必须保持停止。证书卡记录not_before、not_after、issuer_label、trust_error、system_time_status、timezone和observed_at。观察时间晚于有效期是过期候选，早于起始时间是未生效候选，信任链无法建立另设分类。设备时钟明显错误会让日期比较失真，却不能自动解释名称不匹配或允许继续。
检查时间只使用受信的系统设置，不为让页面通过而手工随意调钟。签发链无法核对时写UNKNOWN，不安装未知根证书或描述文件。即使校准后某条提示消失，仍要重新检查主机覆盖和剩余告警，并把前后两次作为独立事件。分类的目的在于把最小证据交给适当人员，不认定页面身份，也不承诺连接安全。日期解析器需要覆盖统一时间、设备时区、秒级精度、边界等于和跨日观察；解析失败不回退到本地当前日期。信任链视图分别记录缺中间证书、未知根、受管根和浏览器综合错误，但不自动选取解决方案。回归测试让错误时钟与真实过期同时存在，确认修正一项后另一项仍保持停止。审计人员从总告警反查各分支证据，任何空分支都会让clearance无效。
采集日期与信任链的最小字段
从浏览器证书视图抄录有效期起止、签发者显示名、信任错误类型和观察时刻，不保存证书私密材料或整份个人日志。主机只用脱敏规范形式，截图遮住账户、其他标签和历史地址。证书序列等无必要字段不进入公开卡。
日期字段保存原显示和解析后的统一时间，解析规则带版本。浏览器只给综合告警而不能看到细节时，缺失项写UNKNOWN。不能拿另一设备、旧截图或缓存页面的证书字段填补当前观察。
- 日期原文和规范时间并列留存
- 信任错误来自当前浏览器观察
- 缺失字段不借其他设备结果补齐
区分过期与尚未生效
把observed_at与not_before、not_after在统一时基下比较，并明确边界是否包含。观察晚于结束是过期，早于开始是尚未生效；恰在边界或精度不足时标待核。页面文案应说日期关系，不把它扩写成站点失效。
跨时区和跨日边界容易误判，因此同时保留设备时区与统一时间。证书时间只有秒级而设备显示分钟级时，精度差写入限制。日期关系通过也不代表签发链、名称覆盖与协议都通过，其他分支仍需独立核对。
- 有效期比较使用统一时基与精度
- 边界不清时保持待核状态
- 日期通过不替代名称和信任校验
验证设备时间而不人为放行
system_time_status只记录系统自动设置是否启用、时区是否符合设备位置预期和与受信时间源的可见差异，不收集定位细节。设备受管理时不修改；个人设备也只使用系统内建安全设置，不输入任意时间测试。
若时钟明显偏差，经所有者确认使用正常设置修正后，建立新的观察并重新读取全部证书字段。不能删除旧告警或写成时钟就是唯一原因。时间状态无法核验、系统拒绝调整或再次漂移时停止并升级设备检查。
- 系统时间核对不暴露精确位置资料
- 调整后完整重跑而非只看提示消失
- 时钟异常不能解释名称不覆盖
处理未知签发与链路缺口
unknown issuer或trust chain error说明当前环境无法建立可接受链路。记录浏览器原文、可见签发者、系统信任状态和时间，不从网络获取未知根证书补链，也不接受页面提供的安装包或配置。
企业设备可能使用受管信任链，是否预期由管理员核对。个人设备出现未知根或配置变化时转入系统安全检查。链路在另一网络或浏览器通过，也不能自动否定当前告警；环境差异与证书路径需由有权限角色解释。
- 未知签发不通过安装材料自助修复
- 受管信任问题交给授权管理员
- 跨环境通过不能抹去当前失败事件
合并多重告警但不相互抵消
同一轮可能同时出现日期、名称、信任和协议提示。每项有独立warning_id，并引用共同的certificate_observation。界面按类别展示所有未解决项，不能只选一个看起来容易修复的错误，也不能把一个通过项当作整体通过。
系统时间修正只重新评估日期相关分支；名称与信任仍按原规则核对。某项无法读取时，其状态为UNKNOWN并维持总停止。总状态由最严格未决项决定，但历史保留每项变化，便于后来复盘。日期比较报告显示原值、统一时间、时区和精度，避免跨日边界被隐藏。信任链受管时只由管理员确认预期范围。clearance生成前逐项检查所有warning_id均有当前证据，任何旧版本或口头说明都不能通过。
- 多重告警逐项建卡并共享观察版本
- 修复动作只影响其证据覆盖分支
- 任一未决安全项都会保持停止
形成可安全升级的分类摘要
摘要写证书日期关系、设备时钟状态、信任错误、主机覆盖结果、浏览器版本和观察时间，再列未执行的继续、安装或登录动作。日志删除完整IP、账号、Cookie、会话和个人路径。无法解释的字段直接标UNKNOWN。
升级问题要具体，例如请核对某证书版本的有效期部署或受管信任是否预期，不要求对方提供私钥和内部配置。返回信息以新事件追加，原始证据不改写。任何现实身份与所有权结论都不在此分类页产生。处理回执分别更新日期、时钟、信任和名称分支，不能用总状态覆盖细节。系统在边界时刻重新解析原始日期，并保存统一时间与精度。若时钟再次漂移或信任链因浏览器不同而变化，建立新环境记录。只有所有安全分支都有当前证据，才可能退出停止；缺一项即继续blocked。
- 摘要覆盖日期时钟信任与名称状态
- 升级请求不索取私钥和敏感配置
- 后续处理以追加事件保存
回归测试跨时区和时钟漂移
合成样例包括明确过期、尚未生效、边界精度不足、错误时区、系统时钟漂移、未知签发和多重告警。每次规则或浏览器文案更新后重跑，确认所有未解决样例都无法进入页面恢复路线。
截图测试检查日期和警告文字可读且不依赖颜色，接口与导出状态一致。再扫描未知证书安装、关闭保护和高级继续等不安全建议。测试通过仅表示分类与停止机制正确，不证明现实主机可信。回归矩阵在有效期前一秒、边界时刻、后一秒以及设备时区跨日时运行，并加入系统时钟偏移与未知签发同时出现。修正时钟后只重算日期分支，名称与信任仍需原证据。审核从总停止状态反查每张warning_id，确保没有被综合文案隐藏；再从每张卡正查页面、接口和任务阻断一致。
- 回归覆盖日期边界与多时区情况
- 不同展示渠道保持一致安全状态
- 测试资料只使用虚构证书信息并模拟时钟漂移未知签发多重告警分支单独修复统一时间精度不足回执版本过期和所有警告分支解除前的完整证据检查与历史留痕
