浏览器地址栏那个灰色的网站小锁图标突然变成红色叉号，或者干脆显示“不安全”三个字，建立很多人第一反应是连接理关掉页面。上个月我帮一个做手工皂的不安客户看后台，她急得不行，全处说客户反映结账时Chrome弹窗警告，网站订单直接掉了三成。建立点开一看，连接理网站主域名是不安https，但商品详情页里嵌了一个http协议的全处尺码对照表图片。就这么一张图，网站把整页的建立安全标识拖下水。

混合内容（Mixed Content）是连接理网站显示不安全的头号原因。你的不安主站可能装了SSL证书，但页面里只要有一个资源——图片、全处脚本、CSS文件、iframe——走的是http，浏览器就会判定连接不安全。这种情况在老旧网站迁移时特别常见。有个做外贸的朋友，公司官网五年前做的，去年换了服务器装了证书，但新闻详情页的缩略图路径还是写死的http。用户一访问新闻页，锁就没了。修复方法不复杂：把页面里所有http://开头的资源链接改成https://，或者用相对协议//开头。但找起来烦，尤其页面多的时候。Chrome开发者工具的Console面板会直接列出混合内容警告，按图索骥就行。

证书本身有问题也会触发警告。最常见的是证书过期。我见过一个做本地餐饮外卖的小程序后台，证书到期那天正好是周五晚上，老板没注意，周末订单全崩。用户点进去就是红色警告页，转化率直接归零。另一种是证书域名不匹配。比如你给example.com买了证书，但用户访问的是www.example.com，而证书里没包含www子域。Let's Encrypt现在默认会带www，但有些付费证书要手动勾选。还有自签名证书，内部测试用没问题，对外服务浏览器一律拦截。检查方法很简单：点击地址栏的锁图标，查看证书详情，看有效期和颁发对象。

服务器配置错误也会导致连接不安全。比如TLS版本太低。有些老服务器还在跑TLS 1.0，Chrome从2020年起就标记为不安全。还有加密套件太弱，或者没开HSTS（HTTP严格传输安全）。HSTS是个响应头，告诉浏览器以后只准用https访问这个域名。没开的话，即使用户手动输入http，第一次请求还是明文的，可能被劫持。配置HSTS要注意，一旦开启，浏览器会记住一段时间，期间如果https服务挂了，用户连http都访问不了。所以先确保https稳定再开。另外CDN回源也要检查。有次我排查一个站点，源站https正常，但CDN回源走的是http，用户端看到的就是不安全。这种问题隐蔽，得从CDN控制台查回源协议设置。

处理顺序可以这样：先看浏览器控制台报什么错，是混合内容还是证书问题。混合内容就全局搜索http://替换。证书问题看是过期、域名不匹配还是根证书不受信任。服务器配置用SSL Labs测试，它会给出详细评分和修复建议。HSTS和CDN回源属于进阶项，基础没问题后再搞。实在搞不定，临时用Cloudflare的Flexible SSL顶一下，但注意这只加密用户到Cloudflare这一段，Cloudflare到源站还是明文，安全性打折扣。长期方案还是源站装证书，用Full Strict模式。

最后说个反直觉的：有些网站显示不安全，其实是用户自己浏览器的问题。系统时间错了、根证书库太旧、或者装了拦截https的杀毒软件。我遇到过一位用户，他电脑时间停在2019年，所有https网站都报证书过期。让他校准时间就好了。所以排查时先确认是不是普遍现象，换个设备或浏览器试试。别一上来就改服务器，白忙活。

(责任编辑：探索)