ChatGPT、Claude 或 Gemini 报证书错误时，失败停在 TLS。2026-11-09 的起草环境里，六台主机校验都通过。签发者有没有被换成网关的名字，要在你的路径上再看一次。起草环境不是大陆宽带。
OpenAI、Anthropic 和 Google 都没有把中国大陆写成这些产品的无条件服务地。从名单外访问可能违反条款，账号可能被限制或停用。本文只说明怎样看出证书是谁签的，不写把私有根证书装进系统来配合解密，也不写伪造证件、购买或借用账号、手机号和支付卡。
先分开三种结果
一个可单独引用的区分：还没有拿到服务器证书，和拿到了证书但签发者与公开路径不同，都还不是「国家或地区不支持」。
| 你看到的结果 | 更像什么 | 下一步 |
|---|---|---|
| 没有 Server Hello，连接超时或被重置 | 传输没完成 | 见 AI 站点的 TLS 停在哪一步 |
Verify return code 不是 0 (ok)，或浏览器写证书无效 | 这条路径上的证书没被本机信任 | 抄下 issuer，并和对得上的路径比较 |
| 校验是 ok，随后 HTTP 正文是国家或地区 | 名单 | 见 Claude 与 Gemini 的地区报错和注册 |
| 能连上，过一会儿回复停住，没有新的证书错误 | 长连接被中途关掉 | 看下面帮助中心写的空闲超时，不要改记成证书 |
系统时间落在证书有效期外面时，校验也会失败。那种情况见 系统时间不准时 VPN 为何握手失败。
当天六台主机的签发者
本机是 OpenSSL 3.0.13（30 Jan 2024）和 curl 8.5.0（Release-Date: 2023-12-06，软件包安全修订 8.5.0-2ubuntu10.16）。下面每台主机都执行了两次：一次把证书交给 openssl x509 -noout -issuer -subject -ext subjectAltName -dates，一次看 openssl s_client 的 Verify return code。六次都是 New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384，并且 Verify return code: 0 (ok)。
| 主机 | 签发者 | subject 的 CN | 当天能对上的 SAN | notAfter（GMT） |
|---|---|---|---|---|
chatgpt.com | Let’s Encrypt，CN = YE1 | chatgpt.com | chatgpt.com、*.chatgpt.com | Jan 28 17:08:45 2027 |
claude.ai | Let’s Encrypt，CN = YE2 | claude.ai | claude.ai、www.claude.ai、staging.claude.ai | Feb 6 13:43:36 2027 |
gemini.google.com | Google Trust Services，CN = WE2 | *.google.com | 含 *.google.com。名单很长，不逐条抄 | Dec 30 19:07:41 2026 |
generativelanguage.googleapis.com | Google Trust Services，CN = WE2 | upload.video.google.com | 含 *.googleapis.com。名单很长，不逐条抄 | Dec 30 19:09:10 2026 |
api.openai.com | Google Trust Services，CN = WE1 | api.openai.com | api.openai.com、*.api.openai.com | Feb 1 04:43:49 2027 |
api.anthropic.com | Google Trust Services，CN = WE1 | api.anthropic.com | api.anthropic.com | Dec 20 19:15:03 2026 |
chatgpt.com 的 notBefore 是 Oct 30 17:08:46 2026 GMT，和 2026-11-01 那篇里记下的同一张证书一致。claude.ai 的 notBefore 是 Nov 8 13:43:37 2026 GMT，比那篇新。日期会过期，不要把表里的 CA 名字写成以后永远如此。
generativelanguage.googleapis.com 的 subject CN 不是主机名。SAN 里有 *.googleapis.com，所以这张证书仍然盖住这个名字。只看 CN、不看 SAN，会把一张正常的 Google 证书误判成「被掉包」。
命令和当天使用的一致。把主机名换成你要看的那一台：
echo | openssl s_client -connect chatgpt.com:443 -servername chatgpt.com 2>/dev/null \
| openssl x509 -noout -issuer -subject -ext subjectAltName -dates
echo | openssl s_client -connect chatgpt.com:443 -servername chatgpt.com第二行的输出里找 Verify return code。0 (ok) 只说明本机信任链接受了这张证书。它不说明出口在支持地区，也不说明没有人在更外层看过明文：若解密发生在你已经信任的网关根证书之后，校验也可以是 ok。那时 issuer 的组织名会变成网关的，而不是上表里的 Let’s Encrypt 或 Google Trust Services。
2026-11-09 没有重开 OpenSSL 手册。-servername 用来在 ClientHello 里放 SNI，这是本机 openssl s_client -help 的用法；帮助文本当天没有另存成文件。
帮助中心把解密和中途断开分开
网络建议 在 2026-11-09 由检索打开，页眉是 “Updated: 20 days ago”，没有日历日期。同一天用 curl 直接请求这个 URL 得到 HTTP 403，正文没有从 curl 里打开。下面只使用检索看到的句子。
和证书直接相关的是 macOS 桌面应用一节。它写可能出现 “Network configuration issue”，以及 “Looks like [certificate] is the wrong SSL certificate…”。下一句写：网络上的 SSL inspection / decryption 可能导致 SSL 错误并打断应用；若可以，对所有公开的 OpenAI 域名关掉 SSL inspection / decryption。步骤是先升级到最新 macOS 应用并重启；若公司政策要求必须解密，联系支持。它把网页版写成桌面应用被挡住时的替代入口。这是对方的排查，不是「关掉解密就符合地区名单」。
同一页把长连接写成另一件事。ChatGPT 的 WebSocket 目的地是 wss://ws.chatgpt.com，用途是对话更新和通知；Codex 是 wss://chatgpt.com/。页面写：若使用 TLS 解密、网页过滤或代理，确认这些控制没有拦截、改写或提前关掉 WebSocket 握手以及随后的长连接。会话能连上但随后停住或断开时，检查 WebSocket 的空闲超时，以及帧或消息大小上限。这是连接中断，不是证书签发者变了，也不是封号。空闲超时在隧道里的另一层见 VPN 保活与掉线重连。语音使用 UDP 3478 的说明在同一页，站内已有 ChatGPT 网页停住，本文不重复端口。
同一页还把 iOS 的 “Unusual activity has been detected from your device. Try again later.” 列成单独一节，步骤里包括关掉 VPN。那是这句英文的排查，不是证书命令。关掉 VPN 之后，应用看到的是直连路径上的地区，可能接着出现国家不支持。不要把「先关掉 VPN 看这句还在不在」写成绕过地区检查的方法。
读者对象写成公司 Wi-Fi 的管理员和使用者。页面点名的网关产品是举例，本文不比较它们，也不建议安装其中任何一种。
和一条不经过该网关的结果对照
只在公司网络或某台「解密代理」上看到失败时，按帮助中心的问法做一次对照：同一台电脑改用手机热点，或另一台不经过该网关的机器，再跑上面的 openssl 命令。
- 只有经过网关时 issuer 不同：失败和这条路径上的重新签名或过滤有关。OpenAI 的建议是对它的公开域名关掉解密，而不是把网关的根证书装进系统。装上私有根，等于让这台网关能够阅读这些网站的明文。
- 两条路径的 issuer 相同，校验都是 ok，但网页仍写国家或地区：证书这一层已经通过。改看名单，不要再换 CA。
- 两条路径都在握手前断开：还没有证书可以比。见 TLS 停在哪一步。
允许列表拒绝是 HTTP 401 或 403 的正文，发生在证书校验之后。见同日草稿 API 允许列表不是国家不支持，链接要等发布后才有效。商店扣款国家见同日草稿 商店扣款国家不是出口国家，同样要等发布。
公开文件里的法律范围
2026-11-09 打开《关于清理规范互联网网络接入服务市场的通知》（工信部信管函〔2017〕32号，通知页）。其中一节的原文是：未经电信主管部门批准，不得自行建立或租用专线（含虚拟专用网络 VPN）等其他信道开展跨境经营活动。同日打开的 答记者问 在转述时写成「建立和租用」。答记者问写明，规范对象是未经电信主管部门批准、无国际通信业务经营资质的企业或个人，租用国际专线或 VPN，私自开展跨境的电信业务经营活动；外贸企业、跨国企业因办公自用需要跨境联网时，可以向依法设置国际通信出入口局的电信业务经营者租用。两处的「或」和「和」不要并成一句。本文不判断某种个人使用是否违法，也不写规避执法的做法。
一次证书错误留下的记录
- 主机名、
Verify return code的原文、issuer 的O和CN。 - subject 的 CN，以及 SAN 里有没有这个主机名或能盖住它的通配名。
- 这条路径是否经过会解密 HTTPS 的网关。对照路径的 issuer 是否相同。
- 若校验已经是 ok，页面上的英文是证书句子、地区句子，还是过一段时间后的断开。三句不要合成一句。