修复 Chrome 的 NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED
Chrome（现在 Firefox 也是）拒绝一张本来有效的证书，报 NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED。证书没进 CT log，或者 SCT 缺失、过期、被剥离。本文教你确认并从源头修好。
🌐 域名、DNS 与 SSL 问题
DNS 传播、SSL 延迟、www vs root、CNAME 错配、换域名后 canonical / sitemap / RSS 旧域名、双域名收录、平台差异。
"我改了 DNS，但网站还是打不开"是建站新手最常喊救命的问题。 这里专注域名 / DNS / SSL：A vs CNAME 选错、根域名 vs www 没统一、SSL 证书没发完、DNS 传播没完成、托管平台域名绑定失败、邮箱 MX 记录被覆盖、HTTPS 没强制、Search Console 资源对不上、canonical / sitemap / RSS / OG 仍用旧域名、Vercel / Firebase 自定义域名差异、旧部署 URL 仍在搜索结果。 与 Indie Dev / Domains DNS SSL、Firebase Hosting、Vercel Hosting 三个 Hub 做了强内链。每篇都给一条"5 分钟内可执行"的检查清单。
常见问题
- DNS 改了但站点还是打不开 TTL / 缓存 / 多 DNS resolver 校验。
- SSL 证书还在 pending CNAME / CAA / 平台验证。
- 根域名 vs www 混乱 选一个为 canonical 并 301 另一个。
- CNAME 记录写错了 根域名不能用 CNAME；用 A 或 ALIAS。
- 域名指向了错的托管商 检查 Name Server / A 记录归属。
- 换域名后重定向全坏了 301 必须按 URL 模式映射。
- HTTPS 没强制 HSTS + 平台 force HTTPS + canonical https。
- 换域名后 Search Console 资源对不上 新建 Domain property，迁移旧资源。
- Canonical 仍指向旧域名 模板里的 site URL 没改。
- 同一个站点被收录多次 http / https / www / non-www 都被收录。
- 站点时而能开时而不能 DNS 多记录 / CDN 缓存 / 平台 propagation。
- 同一域名在 Vercel 工作但 Firebase 不行 两边都验证 / 证书发放策略不同。
- www 和 non-www 都能独立打开 没强制 301 + canonical 没统一。
- Sitemap 仍引用旧域名 Astro / Next 配置的 site URL 没改。
- RSS / OG URL 仍是占位域名 常见于 starter template。
- 搜索结果出现旧部署 URL Vercel preview / Firebase web app URL 被收录。
- CAA 记录阻挡 SSL 证书签发 dig caa 检查；加 / 删 CAA 让对应 CA 可签。
- 通配 DNS 不命中三级子域 通配仅 1 层；深层子域需单独通配或显式记录。
本主题文章
Cloudflare 橙云灰云搞反，站点立刻挂 —— 排查与修复
Cloudflare DNS 那个橙/灰云图标决定流量走边缘还是直连源站。切错会弄断 SSL 签发、WebSocket、源站隐藏。这篇教你怎么选对。
开启 DNSSEC 后 SERVFAIL：信任链断了 —— 排查与修复
你在注册商打开 DNSSEC，验证型解析器开始返回 SERVFAIL。先读 EDE 错误码，从当前 DNSKEY 重新生成 DS、在注册商替换，或直接删 DS 回滚。2026 年 6 月核实。
HSTS preload 进了出不来：如何回滚 HTTPS 强制
你提交了 preload，后来又需要 HTTP。浏览器还在强制 HTTPS。这里给出最快的真实修法、确切的移除步骤，以及诚实的时间线。
IPv6 用户打不开站点：AAAA 记录缺失或挂了 —— 完整排查
IPv4 用户正常，IPv6 用户全部超时。要么 AAAA 没配、要么指向死地址、要么源站防火墙挡 v6。双栈连通性排查。
子域 NS 委派挂了：缺 Glue 记录 —— 排查与修复
把子域委派给它自身内部的 NS，但解析失败？父区需要 glue A/AAAA。这里给出 dig 诊断和注册商端的具体修复步骤。
证书自动续签静默挂了，站点现在不受信任
Certbot 续签几个月前就坏了，直到浏览器弹 NET::ERR_CERT_DATE_INVALID 你才发现。定位真正原因，一小时内把 HTTPS 拉回来。
Name Server vs DNS 记录——到底在哪里改
2026 最新：新手分不清 name server（NS）与具体 DNS 记录（A / CNAME）——改一个不懂另一个，调几小时。
修复 SSL Mixed Content 警告（HTTPS 站点显示 "Not Secure"）
站点已是 HTTPS，浏览器却显示 "Not fully secure"。判断你属于 6 种 mixed content 的哪一种并彻底修好——含 2026 年最新 Chrome 行为。
TTL 太高：DNS 改了为什么传播不出去
改了 A 记录但旧缓存死活不过期？决定传播速度的是变更之前那条记录的 TTL。先判断属于哪种情况，再用对的方法修。
MX 记录被覆盖——入站邮件断了
改完 DNS 后 MX 没了、邮件收不到。教你判断属于哪种情况，并按 Google Workspace / Microsoft 365 / Zoho / Fastmail / Proton 恢复正确记录。
子域名不解析：blog.example.com 打不开
根域名正常，但 blog.example.com 报 NXDOMAIN 或 SSL 错。原因几乎都是少了一行 DNS 记录，或者忘了在主机端绑定域名。按五类逐一排查。