先分清：是“装不上”还是“装上打不开”
新系统版本推送后的头两周，签名类工单通常会集中爆发。但这两类问题的排查路径完全不同：
- 装不上：描述文件无法下载、安装按钮灰掉、提示“无法安装此 App”。问题多出在描述文件下发、证书类型与系统策略匹配上。
- 装上打不开：图标已出现在桌面，点击闪退或提示“未受信任的开发者”。问题多出在用户信任步骤与证书状态。
先让用户截图报错文案，把工单分成这两堆，再往下查，能省掉大量无效沟通。
第一层：系统策略变化
每次大版本更新，苹果都会调整描述文件与证书的校验口径，但具体细节以官方发布说明为准，不要轻信“某版本彻底封杀某类证书”这类说法。可执行的排查动作是：
- 确认失败机型的具体系统版本号，而不是笼统的“最新系统”。同一版本的不同小版本，行为也可能不同。
- 用一台同版本的干净设备做对照安装，排除用户设备已装过旧描述文件、存在冲突配置的可能。
- 检查描述文件的下发方式：通过网页直接下载 .mobileconfig 时，新系统对来源域名、HTTPS 与文件 MIME 类型更敏感，跳转链路过长容易在中途被拦截。
- 查看服务端下发的 plist 与 IPA 地址是否仍可访问，很多“签名失败”其实是下载链接 404 或证书过期导致的假象。
如果对照设备能装、用户设备不能装，问题大概率在用户侧配置或信任状态，而不是证书本身。
第二层：证书类型是否匹配当前场景
不同证书类型的适用边界不一样，新系统发布后最容易出问题的是把测试用途的证书拿去做长期分发。
- 企业证书：适合内部员工分发，但系统对信任授权的要求一直较严，且证书被滥用后可能被吊销，表现为突然大面积打不开。
- Ad Hoc / 开发证书：绑定设备 UDID，换机或新增设备必须重新出包，新系统上不会自动放宽设备校验。
- TestFlight：走苹果官方通道，受系统版本影响最小，适合对外测试，但有审核与有效期约束。
排查时先确认“这个包是用哪类证书签的、目标用户是否在允许范围内”，再谈其他。关于不同分发方式的差异，可参考站内的分发方案说明：签名与分发服务。
第三层：用户信任步骤是否已更新
新系统上，“未受信任的企业级开发者”的入口位置和文案可能微调，但核心路径仍是：设置 → 通用 → VPN 与设备管理（部分版本显示为“描述文件与设备管理”）→ 选择对应开发者 → 信任。
运营侧要做的不是让用户自己找，而是把图文步骤随安装页一起下发，并注意：
- 信任操作必须在 App 安装完成之后进行，顺序错了入口不会出现。
- 部分用户装完直接点图标，看到闪退就判定“签名坏了”，实际只是没信任。
- 企业证书被吊销后，信任入口会消失或显示为“不受信任”，这时任何引导都无效，只能换包。
一份可执行的响应顺序
- 收集报错截图与系统版本，区分装不上 / 打不开。
- 用干净对照设备复现，确认是普遍问题还是个案。
- 核对证书类型、有效期与下发链接可用性。
- 检查描述文件下载链路与信任引导文案是否适配新系统。
- 确认证书被吊销时，立即启动替换包流程，并同步用户通知。
把这套顺序固化成客服话术和值班检查表，比每次临时猜测要稳得多。更多签名与合规分发的实践说明，见 apksafe 服务页。