---
title: 四种 SSL 故障实景演示（附 30 秒自查）
url: https://www.paibaowork.com/ssl/troubleshoot/four-failures/
last_verified: 2026-10-12
version: v1.0
---

## 先看结论：四种故障，四种「死法」

同一个域名、同一个网站，坏的方式不一样，访客看到的东西也不一样。按严重程度从轻到重排：

1. **只有 HTTP**：网站能打开，但地址栏写着「不安全」——慢性失血型。
2. **证书有问题**（过期 / 自签名 / 域名不匹配）：整页红屏「您的连接不是私密连接」——客户要绕过才能看到内容。
3. **证书有问题 + HSTS**：同样红屏，但**连「继续访问」的按钮都没有**——客户想硬闯都进不去。
4. **域名 / 服务器失效**：直接「无法访问此网站」——不是警告，是查无此站。

![【真实截图】四种 SSL 故障对比拼图：不安全 / 证书过期 / HSTS 不可绕过 / 无法访问](/ssl/images/cases/four-failures-compare.png)

> [!NOTE] 图片与案例说明
> 本页截图于 2026-09-12 用真实浏览器内核（Chromium）逐个访问测试站与真实案例截取，原件保存在素材库。涉及具体企业时一律脱敏：只讲现象，不点名公司、不写客户域名。

| 故障 | 你看到什么 | 客户看到什么 | 严重度 | 一句话解法 |
|---|---|---|---|---|
| ① 只有 HTTP | 地址栏「不安全」 | 地址栏「不安全」；页面含密码框或支付表单时升级为红色警告【官】 | 中（慢性失血） | 装免费证书 + 强制跳转 |
| ② 证书过期 / 自签名 / 域名不匹配 | 整页红屏，可点「高级 → 继续访问」 | 整页红屏，绝大多数人直接关掉 | 高 | 重新签发一张正确的证书 |
| ③ ② 再叠加 HSTS | 红屏，**没有**「继续访问」按钮 | 红屏且无法进入，只能关页面 | 最高 | 修好证书；HSTS 生效期内没有后门 |
| ④ 域名 / 服务器失效 | 「无法访问此网站」 | 查无此站，会以为这家公司已经倒了 | 最高 | 续费域名、恢复解析与 443 端口 |

> [!TIP] 30 秒自查（不想读完的话）
> 用**手机流量**打开你的网站 → 分别试裸域名和 www → 找台**安卓手机**再试一次 → 看地址栏：锁头正常、「不安全」是故障①、红屏是故障②③、打不开是故障④。详细做法在本页最后。

## 故障① 只有 HTTP，没有 HTTPS：慢性失血型

- **表现**：页面正常打开、图片文字都在，但浏览器地址栏挂着「不安全 / Not Secure」标识。
- **成因**：网站从来没有证书；或者装了证书，但没有把 `http://` 强制跳转到 `https://`（访客用旧链接进来还是明文）。
- **客户看到什么**：地址栏的警示字样。Chrome 的规则是：所有 HTTP 页面都标记为不安全；页面里一旦出现密码框、支付表单，警告会升级为红色【官】。
- **解决路径**：先申请免费证书（Let's Encrypt 等），再打开强制跳转，让 `http://` 自动 301 到 `https://`。

![【真实截图】只有 HTTP 的网站：页面能打开，但地址栏显示「不安全」（演示站 httpforever.com）](/ssl/images/cases/case1_httpforever.png)

> [!WARNING] 截图拍不到地址栏的叹号
> 无头浏览器（自动截图工具）拍不到地址栏里的「不安全」标识，所以上面这张图要看内容判断。给客户、同事演示时，请用**真实浏览器现场打开** `http://httpforever.com`（一个专门永不加密的测试站，同类还有 neverssl.com），让对方亲眼看地址栏。

**怎么沟通这件事**：网站看起来「能用」，但每个海外客户打开时，浏览器都在提示不安全。愿意花几十万采购设备的买家，看到这个标识，询价邮件就发给别家了——这不是危言耸听，是注意力的自然流向。

## 故障② 证书有问题（过期 / 自签名 / 域名不匹配）：红屏拦截型

三种毛病，同一张脸：

| 演示站（长期有效，可自己打开看） | 毛病 | 红屏里的错误码 |
|---|---|---|
| `https://expired.badssl.com` | 证书已过期 | `NET::ERR_CERT_DATE_INVALID` |
| `https://self-signed.badssl.com` | 自签名证书（不被浏览器信任） | `NET::ERR_CERT_AUTHORITY_INVALID` |
| `https://wrong.host.badssl.com` | 证书上的域名和访问的域名对不上 | `NET::ERR_CERT_COMMON_NAME_INVALID` |

- **表现**：整页红色拦截「Your connection is not private / 您的连接不是私密连接」，网站内容完全不可见；点「高级 / Advanced」可以强行绕过（故障③除外）。
- **成因**：证书没有通过浏览器的三要素检查——① 由受信任的机构签发；② 域名与访问的域名一致；③ 在有效期内。任何一条不满足就红屏。
- **客户看到什么**：红屏页面上写着「攻击者可能正在试图窃取你的信息」。客户不会研究怎么绕过，他会关掉页面，顺便把「这家公司不靠谱」记下来。
- **解决路径**：重新签发一张正确、受信任、在有效期内的免费证书（根域名和 www 都要包含），并确认自动续期真的生效。

![【真实截图】证书过期：整页红屏，错误码 NET::ERR_CERT_DATE_INVALID](/ssl/images/cases/case2_expired.png)

![【真实截图】自签名证书：同样红屏，错误码 NET::ERR_CERT_AUTHORITY_INVALID](/ssl/images/cases/case2_selfsigned.png)

> [!TIP] 三种毛病里，过期最常见
> 免费证书有效期只有 90 天（Let's Encrypt 官方计划 2027-02-10 起缩到 64 天、2028-02-16 起 45 天）。如果网站靠人工记着续，早晚会过期一次；而且 Let's Encrypt 已从 2025-06-04 起不再发到期提醒邮件。所以「确认自动续期 + 设置到期监控」比装证书本身更重要。

## 故障③ 证书错误 + HSTS：连后门都关了型

- **表现**：同样是红屏，但**没有「继续访问」的按钮**——按钮从「Back to safety（返回安全）」变成了「Reload（重新加载）」。错误码是 `NET::ERR_CERT_COMMON_NAME_INVALID`。
- **成因**：网站开了 HSTS（HTTP Strict Transport Security）——一句话解释：网站告诉浏览器「以后永远只准用 HTTPS 访问我」，浏览器就把这条规则记在本地；如果域名被加进了浏览器的 HSTS **预载列表**，那连第一次访问都必须用有效证书。
- **客户看到什么**：红屏，而且没有任何办法进入网站。不是「要绕一下」，是「一个都进不去」。
- **解决路径**：只能把证书修对（域名匹配、受信任、在有效期内）。HSTS 生效期内没有后门可走；这也是为什么给客户演示时，这一档最能说明问题的严重性。

![【真实截图】HSTS + 证书错误：红屏上没有「继续访问」按钮，只有「重新加载」（演示站 subdomain.preloaded-hsts.badssl.com）](/ssl/images/cases/case3_hsts_nobypass.png)

**对照站**：`https://preloaded-hsts.badssl.com`——证书正常时，HSTS 对访客是完全无感的（下图）。HSTS 本身是好事（防降级攻击），坏的是「证书坏了却还开着 HSTS」。

![【真实截图】证书正常时，HSTS 站点照常访问，访客无感](/ssl/images/cases/case3_hsts.png)

> [!NOTE] 很多企业是被「顺手」开了 HSTS
> 有的建站公司在配置服务器时默认加上 HSTS，或者域名被第三方提交进了预载列表，企业自己并不知情。如果网站出现「红屏且无法绕过」，先怀疑这一条：让技术确认响应头里有没有 `Strict-Transport-Security`，域名在不在预载列表里。

## 故障④ 域名 / 服务器失效：查无此站型

- **表现**：「This site can't be reached / 无法访问此网站」，错误码 `DNS_PROBE_FINISHED_NXDOMAIN`——域名已经解析不到任何服务器。
- **成因**：最常见的是**域名过期没人续费**；也可能是解析记录被误删、服务器 IP 变更后没更新。
- **客户看到什么**：不是警告，是「查无此站」。客户会以为这家公司不做了，或者域名被别人拿走了。
- **同属此类的变体**：443 端口关闭 / 服务没运行（`ERR_CONNECTION_REFUSED`）、服务器宕机（连接超时）。
- **解决路径**：先查域名到期日并续费，再核对 A / AAAA 记录是否指向正确的服务器，最后确认 443 端口有服务在监听。

![【真实截图】域名解析不到任何服务器：浏览器显示「无法访问此网站」，错误码 DNS_PROBE_FINISHED_NXDOMAIN（真实案例，已脱敏）](/ssl/images/cases/case4_kttrailers.png)

### 特别提醒：裸域名坏了，你自己永远测不出来

有一家出口企业的**裸域名（不带 www）443 端口是坏的**，但用 HTTP 访问裸域名会 301 跳到正常的 www 子域——所以：

- 老板、业务员平时习惯先输 www → 看到的永远是正常的网站（下图）；
- 海外买家直接输公司名（不带 www）→ 看到的可能是打不开或证书错误。

![【真实截图】同一个网站：带 www 的子域一切正常（真实案例，已脱敏）](/ssl/images/cases/case4_frontech.png)

> [!WARNING] 自查必须分别试裸域名和 www
> 这是本页最容易被忽略的一条：**裸域名和 www 经常一个坏一个好**。把两个都试一遍，才能知道客户到底看到的是什么。

## 现场演示：把四种故障摆给客户看

不用讲技术，打开四个网址就够了。建议用**真实浏览器**（手机更好），按这个顺序演示：

| 顺序 | 打开这个 | 让对方看到 | 配一句话 |
|---|---|---|---|
| 1 | `http://httpforever.com` | 页面能开，但地址栏写着「不安全」 | 「你的网站现在就是这样：能用，但客户一进门就被告知不安全。」 |
| 2 | `https://expired.badssl.com` | 整页红屏，可点「高级 → 继续访问」 | 「证书一过期，客户看到的就是这一页，他得研究怎么绕过才能看到你的产品。」 |
| 3 | `https://subdomain.preloaded-hsts.badssl.com` | 红屏，且没有「继续访问」按钮 | 「这种更狠：客户想进都进不来，一个都进不来。」 |
| 4 | `http://你的裸域名` 和 `http://www.你的域名` | 一个正常、一个报错（如果有的话） | 「你测试习惯先打 www，客户直接输公司名——他看到的可能是另一个结果。」 |

> [!TIP] 演示的两个小技巧
> ① 地址栏的「不安全」标识在无头浏览器截图里拍不到，必须用真实浏览器现场打开；② 用**手机流量**演示（关掉 WiFi），公司网络的缓存和代理会掩盖问题。

> [!WARNING] 演示时不要做的事
> 不要把某个客户的网站当作「反面教材」展示给第三方看，也不要点名任何建站公司。演示的对象是「故障现象」，不是某个人或某家企业——这是本专题所有案例的共同底线。

## 错误码速查表（六行）

红屏页面下方、或者浏览器「高级」里的小字，就是错误码。对照这张表，一眼定位问题：

| 错误码 | 含义 | 严重度 | 第一件事 |
|---|---|---|---|
| `ERR_CERT_DATE_INVALID` | 证书过期 | 红屏，可绕过 | 立即续期，再查自动续期为什么失效 |
| `ERR_CERT_AUTHORITY_INVALID` | 自签名 / 不被信任的证书 | 红屏，可绕过 | 换成受信任机构签发的证书 |
| `ERR_CERT_COMMON_NAME_INVALID` | 证书域名与访问域名不匹配 | 红屏；若有 HSTS 则不可绕过 | 重新签发，把根域名和 www 都加上 |
| `ERR_CONNECTION_REFUSED` | 443 端口关闭 / 服务未运行 | 打不开 | 启动网页软件、放行 443 端口 |
| `DNS_PROBE_FINISHED_NXDOMAIN` | 域名失效 / 未解析 | 打不开 | 查域名到期日，核对 A / AAAA 记录 |
| 无错误码，仅地址栏「Not secure」 | 纯 HTTP 站点 | 叹号警示 | 装免费证书并强制跳转到 https |

> [!TIP] 错误码是最省时间的线索
> 红屏不代表「网站坏了」，错误码会告诉你坏在哪一环：日期 → 续期；信任 → 换证书；名称 → 补域名；连不上 → 端口或服务；查不到 → 域名与解析。先看码，再动手。

## 30 秒自查：给客户和同事的四步

这四步不需要任何工具、不需要登录后台，任何人 30 秒能做完：

1. **用手机流量打开自己的网站**（关掉公司 WiFi，用 4G/5G）。红屏型问题一目了然；公司网络里可能有缓存或代理，会掩盖问题。
2. **分别试裸域名和 www**：`你的域名.com` 和 `www.你的域名.com` 各打开一次。一个坏一个好是最常见的情况。
3. **找一台安卓手机再试一次**。证书链不完整（只装了域名证书、没装中间证书）时，电脑正常、部分安卓机报错。
4. **看地址栏**：锁头 = 正常；「不安全」= 故障①；红屏 = 故障②或③（再点「高级」看有没有「继续访问」，有就是②，没有就是③）；打不开 = 故障④。

| 你看到的 | 对应故障 | 下一步 |
|---|---|---|
| 地址栏「不安全」 | ① 纯 HTTP | 申请免费证书 + 强制跳转 |
| 红屏，有「继续访问」 | ② 证书过期 / 自签名 / 域名不匹配 | 重新签发正确证书 |
| 红屏，无「继续访问」 | ③ HSTS + 证书错误 | 先修证书；HSTS 期间无后门 |
| 「无法访问此网站」 | ④ 域名 / 服务器失效 | 查域名到期、解析与 443 端口 |

## 三个常见误判

| 你以为 | 实际情况 | 怎么验证 |
|---|---|---|
| 「客户有问题会告诉我」 | 遇到红屏或打不开，绝大多数访客直接关页面，不会发邮件提醒你【判断】 | 用手机流量、分别试裸域名和 www，自己看一遍 |
| 「电脑上正常就没问题」 | 证书链不完整时电脑正常、部分安卓机报错；公司网络的缓存或代理也会掩盖证书过期与混合内容【官】 | 找一台安卓手机、关掉 WiFi 再测一次 |
| 「修过一次就一劳永逸」 | 免费证书只有 90 天有效期且会继续缩短，Let's Encrypt 已不再发送到期提醒邮件【官】 | 确认自动续期（`renew --dry-run`）+ 注册一个免费的到期监控 |

## 三句话记住

> [!WARNING] 给老板的三句话
> 1. 客户不会帮你排查，他只会关掉页面——红屏和「无法访问」基本等于丢单。
> 2. 免费证书够用，问题从来不是「证书贵不贵」，而是「有没有人管它」。
> 3. 域名和 www、电脑和手机、裸域和带 www——都测一遍，才算真的测过。

## 下一步

- 想知道自己网站属于哪一档：先做 [免费体检](/tools/ssl-check/)，拿到体检结果再决定修什么。
- 显示「不安全」但没有红屏，按[浏览器显示「不安全」的 6 种原因与排查](/ssl/troubleshoot/not-secure/)逐项对照。
- 要从零装上免费证书：[网站 SSL 证书免费部署完全指南（小白版）](/ssl/deploy/ssl-guide/) 有六条路线和 18 条故障排查。
- 不想自己动手：把部署、监控、续期和失效应急一起交出去，见 [SSL 证书终身维护服务](/services/ssl-maintenance/)（600 元/域名 · 长期统一价）。
- 想看真实故事怎么写、怎么讲：[「每周一坑」故事集](/ssl/cases/weekly-pit/)把三期的坑和解法都摊开了。

## 常见问题

### 红屏警告页，客户能点「高级」绕过去吗？

分情况。证书过期、自签名、域名不匹配这三种，页面上有「高级」和「继续访问」，技术上可以硬闯；但几乎没有客户会去研究怎么绕过，绝大多数人直接关掉页面。一旦网站开着 HSTS（相当于告诉浏览器永远只准用 HTTPS 访问），红屏上连「继续访问」按钮都没有，客户想进也进不来，这是最严重的一档。

### 我没有服务器权限，这些故障还能修吗？

大多数情况可以。如果只能管理域名，可以把域名接入 Cloudflare 免费版：边缘证书自动签发和续期，不需要碰服务器，只需要改域名的 NS 记录。如果域名本身注册在建站公司名下，要先拿回域名管理权，否则任何修复都做不彻底。

### 我自己测试网站是好的，为什么客户说打不开？

三个最常见的原因：第一，你习惯先输 www，而裸域名是坏的，裸域名和 www 经常一个正常一个报错；第二，公司网络有缓存或代理，掩盖了证书过期、混合内容这类问题；第三，证书链不完整时电脑正常、部分安卓手机报错。正确做法是用手机流量、分别试裸域名和 www，再找一台安卓手机测一次。

### 只显示「不安全」三个字、没有红屏，严重吗？

严重。地址栏的「不安全」会直接劝退一部分访客；更关键的是 Google 已宣布 Chrome 154（2026 年 10 月）起默认开启「始终使用安全连接」，用户第一次访问没有 HTTPS 的公共网站时会先看到警告。对外贸网站来说，买家可能还没看到产品就被吓走了。

### 这四种故障排查一遍要多久？

30 秒。用手机流量打开网站、分别试裸域名和 www、找一台安卓手机再试、最后看地址栏状态：锁头正常、「不安全」是纯 HTTP、红屏是证书问题、打不开是域名或服务器问题。先确定属于哪一档，再对症处理，不要急着先买证书。

## 资料来源与核实记录

| 事实 | 来源 | 核实日期 |
|---|---|---|
| badssl.com 测试站群：证书过期、自签名、域名不匹配与 HSTS 预载演示站（本页故障②③的演示站来源） | https://badssl.com/ | 2026-10-10 |
| httpforever.com：一个专门永不加密的 HTTP 测试站（本页故障①的演示站） | http://httpforever.com/ | 2026-10-10 |
| Chrome 154（2026 年 10 月）起默认「始终使用安全连接」：没有 HTTPS 的公共网站会先弹警告（公告 2025-10-28） | https://security.googleblog.com/2025/10/https-by-default.html | 2026-10-10 |
| HSTS 预载列表：域名一旦被预载，浏览器强制要求有效 HTTPS，且红屏不可绕过 | https://hstspreload.org/ | 2026-10-10 |
| Chromium 网络错误码官方列表：ERR_CERT_DATE_INVALID / ERR_CERT_AUTHORITY_INVALID / ERR_CERT_COMMON_NAME_INVALID / ERR_CONNECTION_REFUSED / DNS_PROBE_FINISHED_NXDOMAIN | https://chromium.googlesource.com/chromium/src/+/main/net/base/net_error_list.h | 2026-10-10 |
| HSTS（Strict-Transport-Security）响应头的作用与不可绕过的行为 | https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security | 2026-10-10 |

## 更新记录

- 2026-10-12 · v1.0：上线：四种故障实景演示（8 张真实截图）、六行错误码速查表与 30 秒自查四步；涉及具体企业的案例已脱敏。