公司网站上的证书过期了被举报人勒索

证书过期三天，公司过期公司网站被浏览器标成“不安全”，网站然后我们收到了一封邮件。证书

邮件写得很客气，被举报人附件里却整整齐齐列着截图：Chrome地址栏的勒索红色警告、证书详情页的公司过期过期时间、甚至还有工信部备案信息的网站比对。末尾轻描淡写一句：“贵司网站存在严重安全隐患，证书我这边可以协助处理，被举报人费用两万，勒索三天内有效。公司过期”

IT老张把邮件转给我的网站时候，骂了句脏话。证书他查了日志，被举报人那几天确实有人反复扫描我们域名的勒索443端口，专门盯着证书有效期。这不是普通用户能发现的——普通人看到红色警告就关了，谁会去查证书过期了几天？

我们网站流量不大，一个做工业配件的B2B站，平时就几十个访问。但证书过期这事，确实是我们疏忽。上一任运维离职前忘了续费，交接文档里也没写清楚。老张接手后光顾着修服务器硬盘，没注意到这个角落。

勒索的人显然研究过我们。他知道我们这种小公司最怕什么：客户打开网站看到红色警告，扭头就走。两万块不算多，但给得憋屈。老张说要不先续上证书，再报警。我说报警没用，这种金额立不了案，对方用的还是境外匿名邮箱。

续证书花了不到十分钟。Let's Encrypt免费，自动脚本一跑，绿色小锁又回来了。但邮件里那句话让我不舒服：“三天内有效。”好像我们真会考虑给钱似的。

我回了封邮件，就一句话：证书已续，不劳费心。对方没再回复。

这事过去两个月，我跟同行吃饭聊起来，发现不止我们一家遇到过。有个做外贸的朋友更惨，被勒索五千美金，对方连他公司注册信息、法人手机号都附在邮件里。他当时慌了，真转了钱，结果第二个月又收到一封，说“上次是证书，这次是数据库漏洞”。

这种勒索的逻辑很清晰：专挑小公司，专找技术盲区。证书过期、SSL配置错误、CMS版本老旧——这些在技术人员眼里是常识，在老板眼里是天书。他们赌的就是你怕麻烦、怕客户流失、怕被同行笑话。

但说实话，续个证书能有多难？阿里云、腾讯云都有免费证书，点几下的事。实在不行，找个外包运维一年也就几千块。给勒索者两万，不如花两千请人吃顿饭，让人家帮你把服务器体检一遍。

老张后来写了个监控脚本，证书到期前三十天自动发钉钉提醒。他说这叫“吃一堑长一智”，我说这叫“被贼惦记过才知道锁门”。

那封勒索邮件我还留着。偶尔翻到，会想起那个下午——老张骂骂咧咧地敲命令行，我盯着屏幕上的红色警告发呆。两万块没给，但那个绿色小锁重新亮起来的时候，确实比平时顺眼多了。

网站安全这事，平时没人注意。出了事，就成了别人手里的筹码。与其等别人来提醒你，不如自己先看一眼地址栏左边那个小锁。它要是灰了、红了、或者带个感叹号，别犹豫，赶紧续。别给那些人留机会。