错误源于根证书缺失或时间偏差，需依次校准系统时间、导入受信任根证书、重置证书存储、清除SSL缓存、验证证书链完整性。
如果您在访问网站、安装软件或执行系统更新时遇到“证书过期”提示，并伴随具体错误代码（如0x80096004、NET::ERR_CERT_DATE_INVALID等），则问题通常源于系统无法验证数字签名所依赖的根证书链——可能因根证书缺失、存储损坏或未正确导入所致。以下是针对性解决步骤：
一、校准系统日期与时间
SSL/TLS证书有效性严格绑定UTC时间戳，若本地系统时间偏差超过5分钟，将直接触发“证书已过期”或“尚未生效”的误判，所有后续证书验证均会失败。
1、右键点击任务栏右下角时间区域，选择“调整日期/时间”。
2、确保“自动设置时间”和“自动设置时区”开关均为开启状态。
3、点击“立即同步”，等待状态显示“同步成功”。
4、关闭所有浏览器及应用程序后重新尝试操作。
二、手动导入受信任的根证书（图形界面方式）
当目标服务使用新CA签发的证书，而Windows未预置其根证书时，需通过证书管理器将其显式添加至“受信任的根证书颁发机构”存储区，以建立完整信任链。
1、按Win + R键打开“运行”对话框，输入
并回车。
2、在左窗格依次展开“受信任的根证书颁发机构” → “证书”。
3、右键右侧空白区域，选择“所有任务” → “导入”。
4、在向导中点击“下一步”，点击“浏览”，定位到证书文件（.cer或.crt格式）。
5、确认存储位置为“受信任的根证书颁发机构”，完成导入。
三、命令行导入根证书（管理员权限执行）
适用于批量部署、脚本化修复或远程维护场景，可绕过图形界面限制，直接调用系统证书API写入指定存储。
1、以管理员身份运行命令提示符（cmd）或PowerShell。
2、执行以下命令导入单个根证书文件：
certutil -addstore "Root" C:\path\to\certificate.cer
3、若需从Windows Update同步最新根证书包，执行：
certutil -generateSSTFromWU roots.sst
4、双击生成的
文件，选择“受信任的根证书颁发机构”存储完成安装。
四、重置根证书存储并强制刷新
当现有“受信任的根证书颁发机构”存储出现条目损坏、重复或策略冲突时，系统可能拒绝加载新证书。此时需清空并重建默认信任库。
1、以管理员身份运行命令提示符。
2、依次执行以下命令：
certmgr.msc /s /r "Trusted Root Certification Authorities"
3、执行：
certutil -syncWithWU
4、重启计算机使变更全局生效。
五、清除SSL状态缓存与证书吊销列表（CRL）
Windows会本地缓存SSL会话参数及CRL检查结果，若缓存中存在已失效的吊销状态或过期会话票据，将干扰新证书的实时验证流程。
1、按Win + R键，输入
并回车。
2、切换到“内容”选项卡，点击“清除SSL状态”按钮。
3、点击“证书”按钮，在弹出窗口中选中可疑证书后点击“删除”。
4、关闭所有浏览器进程，重新启动后访问原网站。
六、验证证书链完整性（命令行诊断）
导入根证书后需确认整个证书链（根→中间→终端）是否被系统完整识别，避免因中间证书缺失导致验证中断。
1、以管理员身份运行PowerShell。
2、执行以下命令检查目标域名证书链：
Test-NetConnection example.com -Port 443 | Select-Object -ExpandProperty TcpTestSucceeded
3、若连接成功，进一步执行：
openssl s_client -connect example.com:443 -showcerts 2>&1 | findstr "subject issuer"
4、比对输出中的issuer与本地“受信任的根证书颁发机构”中是否存在对应subject。
certmgr.mscroots.sstinetcpl.cpl