四种 SSL 故障实景演示（附 30 秒自查）

先看结论：四种故障，四种「死法」

同一个域名、同一个网站，坏的方式不一样，访客看到的东西也不一样。按严重程度从轻到重排：

1. 1. 只有 HTTP：网站能打开，但地址栏写着「不安全」——慢性失血型。
2. 2. 证书有问题（过期 / 自签名 / 域名不匹配）：整页红屏「您的连接不是私密连接」——客户要绕过才能看到内容。
3. 3. 证书有问题 + HSTS：同样红屏，但连「继续访问」的按钮都没有——客户想硬闯都进不去。
4. 4. 域名 / 服务器失效：直接「无法访问此网站」——不是警告，是查无此站。

故障① 只有 HTTP，没有 HTTPS：慢性失血型

• 表现：页面正常打开、图片文字都在，但浏览器地址栏挂着「不安全 / Not Secure」标识。
• 成因：网站从来没有证书；或者装了证书，但没有把 http:// 强制跳转到 https://（访客用旧链接进来还是明文）。
• 客户看到什么：地址栏的警示字样。Chrome 的规则是：所有 HTTP 页面都标记为不安全；页面里一旦出现密码框、支付表单，警告会升级为红色【官】。
• 解决路径：先申请免费证书（Let's Encrypt 等），再打开强制跳转，让 http:// 自动 301 到 https://。

怎么沟通这件事：网站看起来「能用」，但每个海外客户打开时，浏览器都在提示不安全。愿意花几十万采购设备的买家，看到这个标识，询价邮件就发给别家了——这不是危言耸听，是注意力的自然流向。

故障② 证书有问题（过期 / 自签名 / 域名不匹配）：红屏拦截型

三种毛病，同一张脸：

• 表现：整页红色拦截「Your connection is not private / 您的连接不是私密连接」，网站内容完全不可见；点「高级 / Advanced」可以强行绕过（故障③除外）。
• 成因：证书没有通过浏览器的三要素检查——① 由受信任的机构签发；② 域名与访问的域名一致；③ 在有效期内。任何一条不满足就红屏。
• 客户看到什么：红屏页面上写着「攻击者可能正在试图窃取你的信息」。客户不会研究怎么绕过，他会关掉页面，顺便把「这家公司不靠谱」记下来。
• 解决路径：重新签发一张正确、受信任、在有效期内的免费证书（根域名和 www 都要包含），并确认自动续期真的生效。

故障③ 证书错误 + HSTS：连后门都关了型

• 表现：同样是红屏，但没有「继续访问」的按钮——按钮从「Back to safety（返回安全）」变成了「Reload（重新加载）」。错误码是 NET::ERR_CERT_COMMON_NAME_INVALID。
• 成因：网站开了 HSTS（HTTP Strict Transport Security）——一句话解释：网站告诉浏览器「以后永远只准用 HTTPS 访问我」，浏览器就把这条规则记在本地；如果域名被加进了浏览器的 HSTS 预载列表，那连第一次访问都必须用有效证书。
• 客户看到什么：红屏，而且没有任何办法进入网站。不是「要绕一下」，是「一个都进不去」。
• 解决路径：只能把证书修对（域名匹配、受信任、在有效期内）。HSTS 生效期内没有后门可走；这也是为什么给客户演示时，这一档最能说明问题的严重性。

对照站：https://preloaded-hsts.badssl.com——证书正常时，HSTS 对访客是完全无感的（下图）。HSTS 本身是好事（防降级攻击），坏的是「证书坏了却还开着 HSTS」。

故障④ 域名 / 服务器失效：查无此站型

• 表现：「This site can't be reached / 无法访问此网站」，错误码 DNS_PROBE_FINISHED_NXDOMAIN——域名已经解析不到任何服务器。
• 成因：最常见的是域名过期没人续费；也可能是解析记录被误删、服务器 IP 变更后没更新。
• 客户看到什么：不是警告，是「查无此站」。客户会以为这家公司不做了，或者域名被别人拿走了。
• 同属此类的变体：443 端口关闭 / 服务没运行（ERR_CONNECTION_REFUSED）、服务器宕机（连接超时）。
• 解决路径：先查域名到期日并续费，再核对 A / AAAA 记录是否指向正确的服务器，最后确认 443 端口有服务在监听。

特别提醒：裸域名坏了，你自己永远测不出来

有一家出口企业的裸域名（不带 www）443 端口是坏的，但用 HTTP 访问裸域名会 301 跳到正常的 www 子域——所以：

• 老板、业务员平时习惯先输 www → 看到的永远是正常的网站（下图）；
• 海外买家直接输公司名（不带 www）→ 看到的可能是打不开或证书错误。

现场演示：把四种故障摆给客户看

不用讲技术，打开四个网址就够了。建议用真实浏览器（手机更好），按这个顺序演示：

错误码速查表（六行）

红屏页面下方、或者浏览器「高级」里的小字，就是错误码。对照这张表，一眼定位问题：

30 秒自查：给客户和同事的四步

这四步不需要任何工具、不需要登录后台，任何人 30 秒能做完：

1. 1. 用手机流量打开自己的网站（关掉公司 WiFi，用 4G/5G）。红屏型问题一目了然；公司网络里可能有缓存或代理，会掩盖问题。
2. 2. 分别试裸域名和 www：你的域名.com 和 www.你的域名.com 各打开一次。一个坏一个好是最常见的情况。
3. 3. 找一台安卓手机再试一次。证书链不完整（只装了域名证书、没装中间证书）时，电脑正常、部分安卓机报错。
4. 4. 看地址栏：锁头 = 正常；「不安全」= 故障①；红屏 = 故障②或③（再点「高级」看有没有「继续访问」，有就是②，没有就是③）；打不开 = 故障④。

三个常见误判

三句话记住

下一步

• 想知道自己网站属于哪一档：先做 免费体检，拿到体检结果再决定修什么。
• 显示「不安全」但没有红屏，按浏览器显示「不安全」的 6 种原因与排查逐项对照。
• 要从零装上免费证书：网站 SSL 证书免费部署完全指南（小白版） 有六条路线和 18 条故障排查。
• 不想自己动手：把部署、监控、续期和失效应急一起交出去，见 SSL 证书终身维护服务（600 元/域名 · 长期统一价）。
• 想看真实故事怎么写、怎么讲：「每周一坑」故事集把三期的坑和解法都摊开了。