网站证书由 CA 签发、浏览器信任名单里的 CA——可 CA 也可能把自己的签发权再委托给下级机构，于是形成一条信任链：网站证书 ← 签发它的机构 ← 更上层的机构 ← 浏览器内置的根证书；代理IP使用者理解这条链，就明白证书为何被信任。代理IP使用者理解这条链，就明白「证书为什么会被信任」以及「断链为什么会被警告」。
链条的最顶端是根证书：浏览器与操作系统内置的一批顶级 CA 的证书，它们像信任的「原点」——不靠别人证明，自己就是可信基准。中间层是各级签发机构，网站证书则是链条末端。浏览器验证书时，从末端逐级往上核对，直到链到内置根证书才完全认可。
断链与不完整
信任链必须完整才有效：任何一级缺失或不被信任，整条链就断了——浏览器会提示「证书链不完整」或「证书不受信任」。常见情形：网站只配置了末端证书、漏配中间证书，或签发机构不在浏览器的信任名单里。代理IP使用者的设备若缺了某个根证书更新，也可能误报这类错误。
自签名证书与私有 CA
还有一种不依赖公共 CA 的做法：自签名证书（自己签自己）与私有 CA（企业内部自建签发机构）。它们不走公共信任链，浏览器默认不认——访问这类站点会看到证书警告，除非用户手动信任。内网系统、测试环境常见这种情况，代理IP场景访问这类站点时要能分辨「警告是否可预期」。
把信任链想成介绍信：根 CA 是德高望重的老前辈，中间机构是它担保过的熟人，网站证书是熟人介绍来的新朋友——浏览器只认老前辈的担保链，链条上任何一环断了，新朋友就不可信了。
证书信任链：根证书（内置原点）→ 中间 CA → 网站证书，浏览器逐级上溯到根才算完全信任——断链即警告，自签名与私有 CA 不走公共链、默认不被信任。
信任链像一代传一代的口头担保：根证书是大家都信的祖师爷，中间机构是它点头的弟子，网站证书是弟子收的徒弟——祖师爷不信的人，徒弟再能干也白搭。
证书与信任链都在幕后默默运转，用户在地址栏能看到的只是一个锁图标——可这个图标背后藏着不少信息，还可能有「看着像安全其实不安全」的细节。下一篇看地址栏的安全信号。
对代理IP使用者来说，信任链知识最有用的场景是「解读证书警告」：提示不受信任时，先分辨是链断了（机构问题）还是压根没链（自签名）——前者多等对方修复、后者可预期手动信任，分类处理就不慌不乱。
信任链的知识还有一层实用延伸：设备系统会定期更新内置根证书库——系统长期不更新，可能错过新 CA 的根证书，导致访问正规新站也报不受信任。代理IP用户遇到「证书突然不受信任」的怪问题，先检查系统证书库更新，往往是这个不起眼的原因。
把信任链与 HTTPS 的验真承诺连起来：验真不是验证一次就完事，而是「链要完整、级级可溯」的体系化核验——链条越清晰，验真的可信度越高；这也是为什么正规站点都走公共 CA 而非自签名——后者缺了让浏览器信任的「出身」。