如何在Win7系统中手动更新Let‘s Encrypt根证书以解决HTTPS访问问题

1. 问题根源：为什么我的Win7突然上不了“安全”网站了？

最近我帮好几个朋友处理了电脑问题，症状都出奇地一致：他们家里或办公室那台“老当益壮”的Windows 7电脑，突然之间就打不开很多网站了。浏览器上要么显示一个红色的叉叉，写着“此网站的安全证书有问题”，要么干脆就一片空白，提示连接不安全。他们一开始都以为是网络坏了，或者网站挂了，但用手机或者其他新电脑一试，网站明明能正常打开。折腾了半天，最后发现“罪魁祸首”竟然是一个叫 Let‘s Encrypt 的证书颁发机构，更具体地说，是它家一个已经过期的根证书在“作祟”。

这听起来可能有点技术，但我给你打个比方，你就明白了。想象一下，你要去一个很高级的私人会所（比如一个HTTPS加密网站），门口保安（你的浏览器）要检查你的邀请函（网站的安全证书）。这个邀请函不是会所自己印的，而是由一个非常有名的、大家都认可的“公证处”（根证书颁发机构）盖章签发的。你的电脑里存着一本“可信公证处名录”（受信任的根证书存储区）。以前，Let‘s Encrypt这个“公证处”用的公章叫 “DST Root CA X3”，你的Win7电脑认识这个章，所以看到盖着这个章的邀请函就放行了。

但问题来了，这个“DST Root CA X3”公章的有效期在2021年9月1日就到期了。Let‘s Encrypt这个“公证处”自己早就启用了新的公章（比如 ISRG Root X1）。对于Windows 10、11或者更新了系统的电脑来说，它们通过系统更新，自动在“可信名录”里把过期的旧章移除了，换上了新章，所以一切照常。可咱们的老Win7，微软早就停止了主流支持，它不会自动更新这份“名录”了。于是，当保安（浏览器）拿着2021年9月后签发的、盖着新公章的邀请函来核对时，它翻遍自己那本老旧的名录，只找到那个已经过期的“DST Root CA X3”章，它一看：“不对啊，这个章已经过期了，这份邀请函无效！” 于是就把你拦在了门外。

所以，核心矛盾点就在这里：网站本身的证书（邀请函）是新的、有效的，但你的Win7电脑用来验证它的那个根证书（旧公章）却过期了。这跟你电脑的系统时间对不对、网站服务器有没有问题，都没关系。要解决这个问题，我们不需要动网站，也不需要重装系统，只需要手动给Win7电脑的“可信公证处名录”里，添加Let‘s Encrypt现在正在使用的新“公章”就行了。

2. 准备工作：找到正确的“新公章”文件

知道了原理，解决起来就有方向了。我们的目标就是去Let‘s Encrypt的“官网”下载它们现在正在使用的、有效的根证书文件，然后手动安装到系统里。这里最关键的一步，就是找到官方、正确的证书文件。我可要提醒你，千万别去一些来路不明的网站下载所谓的“证书修复工具”，那风险太大了，可能附带病毒或流氓软件。我们就从最源头获取。