開啟代理後瀏覽器出現憑證錯誤：HTTPS 錯誤原因與排查步驟

先分清憑證錯誤與代理連線失敗

瀏覽器顯示「你的連線不是私人連線」，代表 HTTPS 身分驗證未通過；這和節點逾時、代理連接埠未監聽是不同問題。Clash Verge 是用戶端介面，實際轉送流量則由使用中的核心負責。一般使用 HTTP CONNECT 或 SOCKS 轉送時，Clash 或 Clash Meta（mihomo）通常不會解密目標網站的 HTTPS 內容，也不需要在系統安裝用來簽發網站憑證的根憑證。

因此，「開啟代理後才發生」只能說明故障可能與網路路徑變動有關，不能直接推論「代理用戶端需要安裝憑證」。先記下瀏覽器錯誤碼、造訪的網域、憑證簽發者與有效期限，再進行交叉測試，比反覆重新安裝用戶端更容易找出原因。

錯誤碼或狀況	優先檢查項目	應記錄的資訊
`NET::ERR_CERT_DATE_INVALID`	系統時間、憑證有效期限	本機日期與憑證有效期限
`NET::ERR_CERT_AUTHORITY_INVALID`	未知簽發者、憑證鏈缺失、信任存放區	簽發者與憑證鏈
`NET::ERR_CERT_COMMON_NAME_INVALID`	網域不相符、解析錯誤、入口網站頁面	網址列中的網域與 SAN 網域清單
`ERR_PROXY_CONNECTION_FAILED`	本機代理位址、連接埠、核心狀態	實際監聽的連接埠與記錄檔

步驟一：校正系統時間並確認憑證有效期限

憑證包含生效與到期時間。電腦長時間關機、主機板電池異常或虛擬機還原舊快照，都可能導致本機日期與實際日期不符。只看工作列上的時間還不夠，也要確認年份、月份與時區。若多個不相關網站同時出現日期錯誤，應先校正系統時間。

Windows 11：開啟「設定」→「時間與語言」→「日期與時間」，啟用「自動設定時間」、確認時區，再按一下「立即同步」。由組織管理的裝置，請使用管理員指定的時間來源。
macOS：開啟「系統設定」→「一般」→「日期與時間」，啟用自動設定日期與時間，並確認時區設定。
確認憑證：在瀏覽器錯誤頁面檢視憑證詳細資料；也可透過開發人員工具的「安全性」面板查看可用的憑證資訊。記下「有效期間起始」與「有效期間結束」，並與校正後的日期比較。

若只有單一網站的憑證過期，其他網站都正常，通常需要由網站維護者更新憑證或修正 CDN 設定。刻意調整本機日期，使其落在憑證有效期間內，會影響其他網站與登入權杖，不應作為解決方法。瀏覽器會驗證實際時間；只更改時區顯示，不一定能校正錯誤的系統時鐘。

步驟二：檢查中間人解密與異常簽發者

企業閘道、安全軟體的「HTTPS 掃描」及本機封包擷取工具，都可能終止原本的 TLS 連線，再以自己的憑證向瀏覽器提供內容。如果目前使用的瀏覽器不信任其根憑證，就可能出現未知簽發者錯誤。公共 Wi-Fi 的驗證頁面若被錯誤地回傳給 HTTPS 連線，也可能造成網域或簽發者異常。

比較直連與代理連線時的憑證

使用同一個瀏覽器連線至同一個網域，分別記錄兩種網路路徑的憑證主體、SAN、簽發者與有效期限。CDN 合法使用不同憑證的情況並不少見，不能只因「憑證變了」就認定遭到攔截。
如果代理連線下的簽發者變成陌生組織、路由器名稱或本機安全軟體名稱，請檢查相應的 HTTPS 檢查功能與網路管理政策。
如果所有 HTTPS 網站都顯示同一張不相關網域的憑證，應優先懷疑閘道設定錯誤、驗證入口網站或流量被導向錯誤服務。

在由組織管理的辦公裝置上，請聯絡管理員確認組織根憑證的來源、散布方式與適用範圍。個人裝置若曾啟用除錯代理，請確認相關工具是否仍在執行、系統代理設定是否殘留；確認不再使用後，依照工具文件還原相關設定。請勿大量刪除系統憑證，也不要擅自移除由組織管理的信任項目。

分清兩種不同的憑證驗證

瀏覽器驗證目標網站憑證，與 mihomo 驗證上游 TLS 節點憑證，是不同層級的檢查。如果用戶端記錄顯示節點交握失敗，例如 x509: certificate has expired，而瀏覽器顯示代理連線中斷，請聯絡節點服務提供者，確認憑證或伺服器名稱設定。節點設定中的 skip-cert-verify 無法修復瀏覽器對目標網站的憑證警告；啟用它反而會略過上游身分驗證。

步驟三：找出 DNS 劫持、解析錯誤與規則路徑問題

HTTPS 連線包含「找到伺服器」與「驗證伺服器身分」兩個階段。DNS 若回傳錯誤位址，瀏覽器可能連到另一台伺服器；若該伺服器回傳其他網域的憑證，就會觸發名稱不相符錯誤。名稱不相符也可能是網站本身的 CDN 設定有誤，因此應透過另一個可信任的網路交叉驗證，不要只換 DNS 就下結論。

在 Clash Verge 的「連線」頁面中，依發生錯誤的網域篩選，查看該連線命中的規則、策略群組與出口。頁面名稱可能因版本而異，請以目前介面為準。
暫時固定使用一個可用節點，避免自動切換策略干擾測試。記下目前使用規則模式還是全域模式，排查完成後再還原設定。
檢查目前生效設定中的 dns、nameserver、fallback 和 hosts。訂閱、覆寫或指令碼都可能改變最終設定，請勿只檢查訂閱原始內容。
檢查系統 hosts 檔案是否有該網域的舊對應。Windows 常見路徑為 C:\Windows\System32\drivers\etc\hosts，macOS 和 Linux 則為 /etc/hosts。

使用 fake-ip 時，應用程式看到 198.18.0.0/16 範圍內的位址可能是正常狀況，實際範圍取決於設定。核心會維護網域與虛擬位址之間的對應；看到虛擬位址不代表 DNS 遭到劫持，也不需要將 fake-ip 位址加入瀏覽器信任清單。

Windows 可執行以下指令，查看系統解析結果並清除系統快取。不過，瀏覽器安全 DNS、核心 DNS 與代理端解析可能採用不同路徑，因此 nslookup 的結果無法單獨證明代理連線實際使用了哪個位址。

nslookup example.com
ipconfig /flushdns

若切換到手機熱點後恢復正常，而原本的網路持續發生錯誤，請檢查該網路的 DNS、閘道與驗證狀態。公共網路若需要驗證，請透過系統提供的網路登入入口完成驗證，不要在憑證異常的 HTTPS 頁面輸入帳號。

步驟四：更新根憑證並檢查伺服器憑證鏈

長期未更新的作業系統可能缺少目前網站使用的受信任根憑證。部分瀏覽器採用獨立或混合式信任機制，因此同一台裝置上「一個瀏覽器正常、另一個出錯」並不罕見。舊版瀏覽器也可能不支援網站目前使用的憑證鏈或 TLS 功能。

多個網站都出現未知簽發者：先安裝作業系統安全性更新與瀏覽器更新，確認裝置未受政策限制而無法更新信任存放區，再重新啟動瀏覽器測試。
只有一個網站異常：伺服器可能漏掉中繼憑證。部分瀏覽器可使用快取或補抓憑證鏈，但另一台新裝置仍可能連線失敗；網站維護者應修正完整憑證鏈。
只有某個瀏覽器異常：檢查該瀏覽器版本、企業政策與憑證管理設定，不要直接將所有憑證匯入所有瀏覽器。
舊版系統無法取得安全性更新：建議升級至仍受支援的系統版本，不要從論壇下載根憑證套件後批次匯入。

「憑證已過期」可能指終端憑證，也可能是中繼憑證或根憑證造成的憑證鏈建置問題。只看錯誤頁面的一句提示很難判斷，應查看憑證鏈中究竟是哪一層驗證失敗。一般瀏覽網站不需要手動匯入該網站的終端憑證。

透過直連與代理交叉測試，縮小故障範圍

以下以本機 HTTP 混合連接埠 7897 為例，並非所有安裝都使用這個連接埠。先在用戶端設定或生效設定中的 mixed-port 欄位確認實際值；若核心未執行，指令會先回報連線失敗，還沒進入目標網站的憑證驗證階段。

Windows：保留憑證驗證並進行測試

curl.exe --noproxy "*" -I https://example.com/
curl.exe --noproxy "" --proxy http://127.0.0.1:7897 -I https://example.com/

將 example.com 換成發生錯誤的網域。第一個指令會略過 curl 明確設定的代理；第二個指令會清除不使用代理的網域清單，並指定本機 HTTP 代理。macOS、Linux 可將 curl.exe 換成 curl。若要查看交握詳細資訊，請加上 -v，不要加上略過憑證驗證的 -k。

測試結果	後續處理
直連正常，代理連線憑證驗證失敗	檢查節點出口、代理端解析、HTTPS 檢查功能與實際命中的規則
兩種連線路徑都出現日期錯誤	檢查本機時間，再確認網站憑證有效期限
curl 正常，只有瀏覽器異常	檢查瀏覽器信任機制、安全 DNS、擴充功能與企業政策
所有測試都無法連線至本機連接埠	先修復核心執行狀態或連接埠設定，不要當成憑證故障處理

curl 與瀏覽器可能使用不同的 TLS 程式庫與信任存放區，因此測試結果只能提供排查線索，不能作為最終安全判斷。分享記錄檔前，請移除訂閱網址、存取權杖、代理驗證資訊與私人網域；完整訂閱連結通常包含可用來存取訂閱的憑證。

還原設定與重新測試清單

每次只變更一個項目：先校正時間，再比較憑證，接著檢查解析結果與出口，最後處理信任存放區或伺服器憑證鏈。一次更換節點、停用 DNS、修改模式又安裝憑證，後續就難以判斷哪個步驟真正有效。

還原日常使用的規則模式、策略群組、TUN 與系統代理設定，並移除排查期間新增的臨時規則。
重新開啟瀏覽器，造訪原本發生錯誤的網域，以及另外兩個不相關的 HTTPS 網站，確認不再出現憑證警告。
確認原網站憑證的 SAN 包含造訪的網域、仍在有效期限內，且憑證鏈受到目前瀏覽器信任。
如果只有特定出口發生異常，請將網域、發生時間、錯誤碼與已遮蔽敏感資訊的記錄檔提供給服務提供者；如果只有單一網站異常，請向網站維護者回報憑證鏈問題。

處理憑證錯誤的目標，是恢復正確的伺服器身分驗證，而不是讓警告頁面消失。系統時間正確、目標網域相符、憑證鏈可信任，且流量路徑符合預期，四項條件都成立才算完成這次排查。代理模式、訂閱與規則欄位的詳細說明，請參閱設定參考；常見連線問題則可查看常見問題。