浏览器提示网站不安全的原因

地址栏出现不安全三个字，九成和 HTTPS 证书有关，剩下的一成是页面里混入了不安全资源，逐项对号入座即可。 原因一：整站还是 http 没有部署 SSL 证书的站点走 http 协议，浏览器对这类页面一律标注不安全。解决方式是申请证书并在 Web 服务里启用，证书申请时验证域名所有权，DNS 加一条解析记录即可完成。Nginx 的核心配置就两行：listen 443 ssl 加证书路径，配好后把 http 请求全部 301 跳转到 https，同时更新 sitemap 和站内链接，减少混合内容来源；程序里的回调地址也要改，支付、消息类回调走 http 会被对方拒绝。 原因二：证书过期或域名不匹配 证书有有效期，到期不续就会告警。在服务器上执行： openssl s_client -connect www.example.com:443 2>/dev/null | openssl x509 -noout -dates 就能看到起止时间。另一种是证书域名与访问域名不一致，比如证书签给 www.example.com，用户访问的 example.com 没被覆盖，同样告警，签发时把主域和 www 域一起覆盖。证书链不完整也会告警，中间证书要一起部署。免费证书有效期只有九十天，务必配置自动续期，crontab 里加 certbot renew --quiet，续期后自动重载 Web 服务。检查覆盖范围时，把带端口和不带端口的访问都试一遍，有些告警只在特定端口出现。 原因三：混合内容 https 页面里引用了 http 的图片、脚本或样式，浏览器照旧给警告。按 F12 打开控制台，Network 面板按协议过滤，http 开头的请求一目了然；第三方统计代码、字体文件是混合内容的常客，重点检查。把资源链接统一改成 https，警告即消失。改完用无痕窗口把主要页面走一遍，登录后才加载的资源也要覆盖到。 排查顺序建议 先看协议，再看证书有效期、覆盖域名和证书链，最后查混合内容。多个域名共用一台服务器时注意 SNI（握手时携带访问域名的技术）匹配。改完证书用 Ctrl+F5 强刷再验证，缓存常常骗人；配置到期监控提前三十天提醒，比让用户先发现强得多。多站点的把证书、域名的续期时间统一记在一张表里，漏一项就是一次告警。