開啟代理後瀏覽器顯示憑證錯誤：HTTPS 憑證錯誤原因與解決方法

先記下錯誤代碼，再判斷問題範圍

開啟 FlClash 後出現「您的連線不是私人連線」，表示瀏覽器驗證 HTTPS 身分時遇到問題。排查時應先確認錯誤代碼、目標網域及憑證詳細資料，而不是不斷重新整理頁面。若遇到登入、付款或電子郵件頁面，請先停止輸入密碼與驗證碼，並保留錯誤頁面的資訊。

展開瀏覽器錯誤頁面的「進階」說明，記下完整錯誤代碼；若頁面提供檢視憑證的入口，也記下憑證的簽發者、有效期限及主體別名。不同瀏覽器的入口位置可能不同，請優先採用錯誤頁面提供的憑證資訊。

接著判斷問題範圍：只有一個網站出錯，還是多個互不相關的 HTTPS 網站同時出錯？只有一個節點異常，還是關閉代理後也會出錯？這些差異比「網路能不能連上」更有助於找出問題。連線逾時、連線重設和憑證錯誤發生在不同階段，不能用同一種方式處理。

HTTPS 交握與代理：分別檢查兩層憑證

瀏覽器造訪 HTTPS 網站時，會驗證目標網站憑證的網域、有效期限及信任鏈。透過一般 HTTP 代理造訪 HTTPS 網站時，瀏覽器通常會先以 CONNECT 建立通道，再與網站進行 TLS 交握；SOCKS 代理和 TUN 接管也能轉送這段加密流量。一般轉送本身不需要在瀏覽器安裝專用根憑證。

如果節點通訊協定本身使用 TLS，還需要驗證「用戶端到代理節點」這段連線。此時 mihomo 記錄中的 x509: certificate has expired or is not yet valid 或 certificate signed by unknown authority，可能是節點憑證有問題；瀏覽器錯誤頁顯示的憑證通常則屬於目前造訪的網站。這兩層問題應分開排查。

• 瀏覽器直接顯示憑證警告：先檢查目標網站網域、簽發者、系統時間及本機信任庫。
• 用戶端記錄顯示節點 TLS 連線失敗：核對節點伺服器名稱、訂閱參數及節點憑證狀態，並聯絡服務提供者處理。
• 頁面顯示代理連線失敗或持續逾時：先檢查本機監聽連接埠、節點連線狀態及路由，不要直接認定是網站憑證問題。

系統時間錯誤：先修正日期並啟用自動同步

憑證都有明確的生效時間與到期時間。裝置日期不在有效期限內，即使網站設定正常也會驗證失敗。切換雙系統、長時間未開機或主機板電池異常，都可能造成系統時間偏移。請先與可信的時間來源比對，檢查年份、日期與分鐘，再確認時區。

1. Windows 11：開啟「設定」→「時間與語言」→「日期與時間」，啟用「自動設定時間」，並在「其他設定」中選取「立即同步」。
2. macOS：開啟「系統設定」→「一般」→「日期與時間」，確認已啟用自動設定日期與時間；修改設定時可能需要管理員授權。
3. Android：在系統設定中搜尋「日期與時間」，啟用自動設定時間與自動設定時區。不同廠牌系統的選單層級可能有所不同。
4. 同步完成後，關閉發生錯誤的分頁，重新造訪相同網域，再檢查憑證有效期限。

時區會影響時間的顯示方式，憑證有效性則依實際時間點判定。只修正時區名稱、卻保留錯誤的系統時鐘，問題可能仍然存在。若時間正確，只有一個網站顯示憑證過期，應由網站維護者更新憑證；切換代理節點無法讓過期憑證恢復有效。

中間人憑證：檢查簽發者及本機 HTTPS 檢查

企業閘道、部分安全軟體及除錯代理可能會執行 HTTPS 解密檢查。這些工具會向瀏覽器提供重新簽發的憑證，再代替瀏覽器連線至目標網站。如果相應的根憑證未受信任、已過期，或軟體設定殘留，就可能出現憑證簽發機構不受信任的警告。

以相同網域進行三項比對

• 比較發生錯誤的裝置與另一台正常裝置上的憑證簽發者。憑證可能因 CDN 或更新而不同，但若出現公司閘道、安全軟體或除錯工具的名稱，就值得進一步確認。
• 比較同一台裝置上的兩種瀏覽器。不同瀏覽器使用信任庫的方式可能不同；若只有一種瀏覽器出錯，請優先檢查該瀏覽器的憑證設定、擴充功能及管理政策。
• 在獲准的情況下，可改用手機熱點測試。若只有公司網路會觸發問題，請交由網路管理員確認檢查政策及憑證部署狀態。

Windows 可執行 certmgr.msc 檢視目前使用者的憑證存放區，或執行 certlm.msc 檢視本機電腦的憑證存放區；請優先檢查「受信任的根憑證授權單位」，不要只憑陌生名稱就大量刪除憑證。macOS 可在「鑰匙圈存取」中檢查相關憑證及信任設定。受管理裝置上的憑證應依照組織流程處理。

若先前安裝過封包擷取或除錯工具，可先關閉工具，並檢查系統代理是否仍指向該工具。瀏覽器可能同時受到擴充功能代理與系統代理影響，因而使用不同連線路徑。每次只調整一項，重新測試並記下結果，避免同時刪除憑證、重設瀏覽器及修改設定，失去判斷依據。

網域不符：檢查 DNS、認證入口網站與分流設定

DNS 異常可能會將網域導向錯誤的伺服器，但解析異常不一定會顯示憑證警告，也可能只造成逾時。遇到網域不符時，先確認網址列是否有拼字錯誤，再查看憑證的主體別名（SAN）是否涵蓋目前的主機名稱。憑證涵蓋 example.com，不代表一定涵蓋它的所有子網域。

連上公共 Wi-Fi 後，先完成網路認證

飯店、機場或校園網路可能要求先通過認證入口網站。請透過系統的「登入網路」通知開啟認證頁面，確認網路名稱後完成認證，再測試 HTTPS。不要在原本造訪銀行或電子郵件網站時出現的憑證錯誤頁面輸入公共網路帳號；請分清楚認證入口網站與目標網站。

分別確認系統 DNS 與代理 DNS

Windows 可使用以下指令查看系統的解析結果。這個指令只會顯示相應解析路徑，不一定與瀏覽器的安全 DNS 或 mihomo 的 DNS 結果相同。

nslookup example.com
ipconfig /flushdns

第二個指令用於清除 Windows 系統 DNS 快取，但不會自動清除瀏覽器、上游解析器及 mihomo 內部的快取。若設定使用 Fake-IP，看到對應的映射位址不代表 DNS 遭到污染；mihomo 常見的 Fake-IP 位址池為 198.18.0.0/16，實際情況仍應以目前設定為準。

在 FlClash 的連線記錄中搜尋發生錯誤的網域，確認套用的規則及實際出站策略。規則模式會依設定選擇直連或代理；全域模式只會改變出站選擇，無法修復系統時間或信任庫。若瀏覽器啟用了安全 DNS，也請記下其狀態，避免只修改系統 DNS 就認定所有解析路徑都已變更。

節點與 TUN 排查：一次只變更一個項目

「更換節點後恢復正常」只能表示問題可能與該連線路徑有關，還需要確認原節點是否有錯誤解析、出口重新導向或連線異常。正常的端對端 HTTPS 連線仍應由瀏覽器驗證網站身分；若出現陌生憑證，請保留憑證資訊並暫停使用該異常連線路徑。

1. 記下目前的出站模式、選取的節點、系統代理與 TUN 開關狀態，以及發生錯誤的網域和錯誤代碼。
2. 保持節點不變，先關閉 TUN，僅透過已確認的系統代理測試瀏覽器，確認要求是否仍經由用戶端傳送。
3. 還原原本設定，只切換一個節點，再造訪相同網域，比較錯誤代碼和憑證簽發者。
4. 若網路允許直連且符合使用規範，請關閉系統代理與 TUN 後進行比對測試。瀏覽器擴充功能或命令列環境變數也可能仍指定代理，請一併檢查。
5. 比對用戶端記錄中的時間點，判斷失敗發生在節點 TLS 連線階段，還是造訪網站的階段。

指定連接埠測試 HTTP 代理

以下以本機 HTTP 或混合連接埠 7890 為例。先確認目前用戶端設定中的實際連接埠，再替換指令中的連接埠號碼；此數值僅供示範，不代表所有 FlClash 設定的預設值。Windows 使用 curl.exe 可避免舊版 PowerShell 的命令別名差異；macOS 或 Linux 則使用 curl。

curl.exe --noproxy "*" -Iv --connect-timeout 10 https://example.com/
curl.exe --noproxy "" -x http://127.0.0.1:7890 -Iv --connect-timeout 10 https://example.com/

第一個指令會略過 curl 明確設定的代理，第二個則會明確指定本機 HTTP 代理。兩個指令都會保留憑證驗證，連線逾時設為 10 秒。啟用 TUN 時，第一個指令的流量仍可能被接管，因此不能只憑 --noproxy 就認定是真正的直連。SOCKS 專用連接埠也不能直接填入 HTTP 代理位址。

curl 與瀏覽器可能使用不同的憑證後端及信任庫，因此指令執行成功只能作為比對結果之一，不代表瀏覽器問題已解決。分享詳細輸出前，請移除代理驗證資訊、Cookie、訂閱網址及其他敏感內容。

恢復標準設定：確認憑證有效後，還原日常設定

完成變更後，重新造訪最初發生錯誤的網域，再測試另外兩個互不相關的常用 HTTPS 網站。確認頁面能否正常載入、錯誤代碼是否消失，以及憑證有效期限和網域是否相符。接著還原平時使用的規則模式、系統代理或 TUN 設定，再測試一次。

• 只有一個網站持續無法連線：向網站維護者回報網域、錯誤代碼、憑證有效期限及測試時間。
• 只有一個節點持續發生錯誤：向訂閱服務提供者回報節點名稱、發生時間及已隱去敏感資訊的記錄，切勿公開訂閱連結。
• 只有公司網路或受管理裝置發生錯誤：聯絡管理員檢查根憑證部署、閘道時間及 HTTPS 檢查政策。
• 所有網路都無法連線：繼續檢查裝置時間、系統更新、瀏覽器信任庫及本機安全軟體。

處理憑證錯誤的目標是恢復可驗證的連線，而不是隱藏警告。若要重新確認用戶端的接管方式，可參閱快速入門教學；訂閱與連線的基本問題，請參閱疑難排解。