浏览器显示「不安全」的 6 种原因与排查

先说结论：地址栏写着「不安全」，就六种原因

浏览器不会无缘无故说你的网站不安全。它只核对三件事：证书是不是受信任的机构签的、证书上的域名和访问的域名对不对得上、证书有没有过期；再额外检查一件事——页面里有没有还在用 http:// 加载的资源（混合内容）。全部通过就显示正常状态，任何一条不过就出现「不安全」或整页红屏。

原因① 纯 HTTP：根本没有证书

• 你看到的：地址栏左侧写着「不安全」，网址是 http:// 开头。
• 原因：网站从来没申请过证书；或者申请了、但访客用 http:// 进来时没有自动跳转到 https://。
• 怎么确认：手动在地址栏把 http:// 改成 https:// 再回车。能正常打开 → 是「没开强制跳转」；打不开或红屏 → 是「根本没有证书」。
• 怎么修：先申请免费证书，再打开强制跳转（301）。六条路线（Linux/Certbot、宝塔、cPanel、Cloudflare、IIS、SaaS 平台）见免费部署完全指南。

原因② 证书过期（最常见的一种）

• 你看到的：整页红屏「您的连接不是私密连接」，错误码 NET::ERR_CERT_DATE_INVALID；点「高级 → 继续访问」还能硬进去。
• 原因：免费证书有效期只有 90 天，而且会越来越短（Let's Encrypt 官方计划：2027-02-10 起 64 天、2028-02-16 起 45 天）。靠人工记着续期，早晚会漏一次。
• 怎么确认：点地址栏左侧图标 →「连接是安全的」→「证书有效」，看有效期的截止日期；或用命令看：echo | openssl s_client -connect 你的域名:443 -servername 你的域名 2>/dev/null | openssl x509 -noout -dates。
• 怎么修：先应急续期（Certbot 用 sudo certbot renew；宝塔/cPanel 在面板里重新申请），再回头查「为什么自动续期没生效」——定时任务是否在跑、续期时 80 端口是否被关、后来是否开了 CDN 或 301 规则。

原因③ 域名不匹配：证书只有 www，访问的是裸域名

• 你看到的：整页红屏，错误码 NET::ERR_CERT_COMMON_NAME_INVALID。如果网站还开着 HSTS，红屏上连「继续访问」都没有。
• 原因：证书上写的域名和你访问的域名对不上。最常见的两种：证书只包含 www.你的域名，客户输的是裸域名；或者服务器上站点配错，把另一个站点的证书发给了访客。
• 怎么确认：用 https://你的域名 和 https://www.你的域名 各开一次。一个正常一个红屏 → 就是域名没配全。
• 怎么修：重新申请时把根域名和 www 都写进同一张证书（Certbot 加 -d 你的域名 -d www.你的域名；宝塔申请时勾选两个域名）。多站点服务器要确认每个站点各自部署了证书，不要共用。

原因④ 自签名 / 不被信任的证书

• 你看到的：整页红屏，错误码 NET::ERR_CERT_AUTHORITY_INVALID。
• 原因：证书不是受浏览器信任的机构（CA）签发的。三种典型：用了自签名证书（自己给自己签的）；用了测试证书；在 Cloudflare 场景里把源证书直接暴露给了访客（比如 DNS 记录被改成「仅 DNS」灰色云朵，访客直连源站，而源站用的是 Cloudflare 源证书——浏览器不信任它）。
• 怎么确认：点红屏页面的「高级」，看证书颁发者。如果是 Cloudflare 的 Origin CA、或者你自己生成的名字，就是这个原因。
• 怎么修：换成受信任的免费证书（Let's Encrypt 等）。Cloudflare 场景：源站装 Let's Encrypt，或者把 DNS 记录恢复成「已代理」（橙色云朵），让访客走 Cloudflare 边缘证书。

原因⑤ 证书链不完整：电脑正常，安卓报错

• 你看到的：电脑上一切正常，但部分手机（尤其安卓）提示证书不可信、或者干脆打不开。
• 原因：只装了域名证书（cert.pem），没装中间证书。桌面浏览器常会自动补链，所以看不出来；部分安卓机和老旧客户端不会补，就报错。
• 怎么确认：跑一次 SSL Labs（https://www.ssllabs.com/ssltest/），看有没有 Chain issues / Incomplete 这一条。
• 怎么修：Nginx 用 fullchain.pem 而不是 cert.pem；宝塔、cPanel 里粘贴证书时确保包含完整的证书链（面板一般会同时给「证书」和「中间证书/链」两栏）。修完再用安卓手机测一次。

原因⑥ 混合内容：网址是 https，页面里还有 http 资源

• 你看到的：地址栏可能显示正常、也可能仍提示不安全；页面排版错乱、图片不显示、询盘表单点不动。
• 原因：页面本身是 https://，但里面的图片、脚本、样式、视频还是用 http:// 地址加载。浏览器会拦截或自动升级这些资源，严重时整页降级提示不安全。
• 怎么确认：按 F12 打开开发者工具 → Console，搜 Mixed Content，或者在 Network 里筛 http:// 的资源；也可以在页面源码里搜 http://。
• 怎么修：把页面模板里所有 http:// 的资源地址改成 https://（或改成 // 开头、跟页面协议走）；在 Cloudflare 上可以打开 Automatic HTTPS Rewrites 兜底；改完用无痕窗口复测。

一张表：按你看到的，直接跳到排查步骤

修好之后：三分钟验收

1. 1. 四个网址都试一遍：https://你的域名、https://www.你的域名、http://你的域名、http://www.你的域名。前两个应正常显示锁头，后两个应自动跳转到 https。
2. 2. 手机上再试一遍（用手机流量，别用公司 WiFi；最好找一台安卓）。
3. 3. 跑一次 SSL Labs，目标 A 或 A+，并确认没有 Chain issues、没有「证书不受信任」的 T 评级。
4. 4. 确认自动续期：sudo certbot renew --dry-run / 宝塔看续签状态 / Cloudflare 看边缘证书状态，然后注册一个免费的到期监控。

三句话记住

下一步

• 先看看四种故障分别长什么样：四种 SSL 故障实景演示（附 30 秒自查）。
• 不确定自己是哪一档：先做 免费体检，拿到结果再对症下药。
• 从零部署免费证书：网站 SSL 证书免费部署完全指南（小白版）。
• 想让别人长期盯着它：SSL 证书终身维护服务（600 元/域名 · 长期统一价）。