为什么访问 HTTPS 网站却报告不安全？常见原因与解决方案

部署了 SSL 证书，地址栏也显示了锁图标，为什么浏览器依然提示"连接不安全"？这个问题在 SSL/TLS 部署中非常常见。本文系统梳理了 HTTPS 报告不安全的各种原因，并给出对应的解决方案，帮助你快速定位并修复问题。

👉 如果你需要企业级 SSL 证书（OV / EV / 代码签名）来解决信任问题，请访问 **EveryoneTrust SSL 证书价格与购买**。

HTTPS "不安全" 的本质原因

HTTPS 的安全建立在信任链之上。当浏览器访问一个 HTTPS 网站时，它会执行以下校验：

证书是否有效——是否过期、是否被吊销
证书是否由可信 CA 签发——颁发者是否为浏览器内置根证书库中的受信任 CA
证书是否匹配访问的域名——证书的 CN/SAN 是否包含当前访问的域名
连接是否完整——TLS 握手是否完成、是否存在中间人劫持

上述任何一个环节出问题，浏览器就会显示"不安全"警告。下面的每一种情况都会导致这个问题。

原因一：SSL 证书已过期

这是最常见的原因。 SSL 证书有固定的有效期，Let's Encrypt 证书有效期为 90 天，商业证书通常为 199天。证书过期后，浏览器会立即判定为不安全。

典型错误信息：

ERR_CERT_EXPIRED（Chrome）
security certificate has expired（Firefox）
"此证书已过期"（Safari）

如何排查：

# 使用 OpenSSL 查看证书有效期
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates

# 输出示例
notBefore=Jul 15 00:00:00 2025 GMT
notAfter=Oct 15 00:00:00 2025 GMT

解决方案：

立即续期或重新签发证书
建议使用 Certbot、acme.sh 等工具设置自动续期，避免手动续期导致的疏漏
Let's Encrypt 建议在到期前 30 天 内完成续期，留有缓冲时间

原因二：证书与域名不匹配

当证书的主体名称（CN）或主体备用名称（SAN）与访问的域名不一致时，浏览器会拒绝信任。

常见场景：

场景	说明
证书只绑定了 `www.example.com`	但访问的是 `example.com`（无 www）
证书绑定了 `example.com`	但访问的是 `www.example.com`
证书绑定了旧域名	网站已更换域名但证书未更新
申请时填错了域名	拼写错误导致证书与实际域名不符

典型错误信息：

ERR_CERT_COMMON_NAME_INVALID
ERR_SSL_VERSION_OR_CIPHER_MISMATCH

解决方案：

为所有需要保护的域名（主域名 + www + 所有子域名）申请多域名证书或通配符证书
在部署时确保服务端配置的证书包含当前访问的所有域名
如使用 CDN，CDN 层也需配置与边缘域名匹配的证书

原因三：证书由不受信任的 CA 签发

如果证书不是由浏览器内置根证书库中的受信任 CA 签发，浏览器同样会判定为不安全。

常见场景：：

场景	说明
使用了自签名证书	自签名证书不被任何公共 CA 信任，仅适用于内网环境
使用了企业内部 PKI	未将企业根证书导入浏览器
使用了小众/新 CA	根证书尚未被所有浏览器和系统内置
证书链不完整	服务器未配置中间证书（Intermediate CA）

典型错误信息：

ERR_CERT_AUTHORITY_INVALID
security certificate is not trusted
"此证书的签发者不受信任"

排查方法：

# 查看证书完整链
openssl s_client -connect example.com:443 -showcerts 2>/dev/null

# 使用在线工具检测
# 访问 https://www.ssllabs.com/ssltest/ 输入域名，查看 Trust 评级和证书链

解决方案：

自签名证书：替换为受信任 CA 签发的证书（如 Let's Encrypt）
证书链不完整：在服务器配置中正确加载中间证书链（ssl_certificate_chain）
企业 PKI：在客户端浏览器中导入企业根证书（仅限企业内部使用场景）

原因四：TLS 协议版本过旧

使用 TLS 1.0 或 TLS 1.1（以及更早的 SSL）已被行业废弃，主流浏览器会明确拒绝这些不安全的协议版本。

时间线：

2020 年 3 月：Safari 停止支持 TLS 1.0/1.1
2020 年：Chrome 标记 TLS 1.0/1.1 为不安全
2024 年：主流浏览器完全移除 TLS 1.0/1.1 支持

典型错误信息：

ERR_SSL_VERSION_OR_CIPHER_MISMATCH
Cannot communicate securely with peer

解决方案：

在服务器配置中禁用 TLS 1.0/1.1，仅启用 TLS 1.2 和 TLS 1.3：

Nginx 配置示例：

server {
    listen 443 ssl http2;
    ssl_protocols TLSv1.2 TLSv1.3;   # 禁用 TLS 1.0/1.1
    ssl_ciphers TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256;
    ssl_prefer_server_ciphers off;

    # HTTP 强制跳转 HTTPS
    listen 80;
    return 301 https://$host$request_uri;
}

Apache 配置示例：

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256
SSLHonorCipherOrder off

原因五：混合内容（Mixed Content）

即使页面通过 HTTPS 加载，页面中引用的某些资源（图片、CSS、JS、图片、iframe）仍然通过 HTTP 加载，这种情况称为混合内容。

混合内容的安全风险： 虽然主连接是加密的，但通过 HTTP 加载的资源可以被中间人篡改，攻击者可以在页面中注入恶意脚本，绕过 HTTPS 的保护。

浏览器表现：

地址栏显示锁图标 + 警告三角形（部分浏览器）
控制台显示警告：Mixed Content: The page was loaded over HTTPS, but requested an insecure resource
部分现代浏览器会主动阻止不安全的子资源（严格混合内容检测）

排查方法：

使用浏览器开发者工具（F12）→ Console 面板，查找 Mixed Content 警告，或在 Network 面板中筛选 Blocked 的资源。

常见混合内容来源：

类型	示例
图片	`<img src="http://example.com/logo.png">`
CSS	`<link rel="stylesheet" href="http://example.com/style.css">`
JavaScript	`<script src="http://example.com/app.js">`
iframe	`<iframe src="http://example.com/embed.html">`
API 请求	`fetch('http://api.example.com/data')`

解决方案：

将所有资源 URL 改为 HTTPS 或协议相对路径（//）：

<!-- ❌ 不安全 -->
<img src="http://example.com/logo.png">

<!-- ✅ 安全 -->
<img src="https://example.com/logo.png">

<!-- ✅ 更优：协议相对路径，自动跟随页面协议 -->
<img src="//example.com/logo.png">

<!-- ✅ 最优：使用 HTTPS -->
<img src="https://example.com/logo.png">

对于 WordPress、Drupal 等 CMS，可使用插件批量替换数据库中的 HTTP 链接为 HTTPS。

原因六：证书被吊销或 OCSP 失败

如果证书已被 CA 吊销（如私钥泄露），浏览器会拒绝信任该证书。

典型错误信息：

ERR_CERT_REVOKED

原因：

私钥被泄露（服务器被入侵、代码泄露了私钥）
证书被错误签发（CA 错误签发、域名所有权验证失败）
证书被滥用（如用于钓鱼网站被举报）

排查方法：

# 使用 OpenSSL 检查 OCSP 响应
openssl s_client -connect example.com:443 -status 2>/dev/null | grep -A 17 "OCSP Response"

# 使用 CRL 列表检查
openssl s_client -connect example.com:443 -crl_download 2>/dev/null

解决方案：

如果私钥泄露：立即吊销旧证书，重新申请新证书并更换私钥
如果证书误被吊销：联系 CA 说明情况，申请恢复或重新签发
确保服务器定期检查证书吊销状态（CRL / OCSP）

原因七：SNI 不匹配

SNI（Server Name Indication） 是 TLS 扩展，允许浏览器在 TLS 握手阶段就告知服务器要访问的域名。如果服务器配置的证书与请求的 SNI 不匹配，会导致连接失败或使用错误的证书。

典型错误信息：

ERR_SSL_VERSION_OR_CIPHER_MISMATCH（多见于 CDN / 反向代理场景）
浏览器使用了错误域名的证书（例如访问 a.com 却显示了 b.com 的证书）

常见场景：

同一个 IP 上托管了多个 HTTPS 网站（共享 IP 的虚拟主机）
CDN 未正确配置回源证书
反向代理（如 Nginx）未正确传递 SNI

解决方案：

在反向代理配置中正确传递 Host 头和 SNI 信息
CDN 边缘证书需要与加速域名匹配
多个站点使用不同证书时，确保 TLS 配置使用各自的证书路径

原因八：HSTS 配置问题

HSTS（HTTP Strict Transport Security） 是告诉浏览器"该网站只允许通过 HTTPS 访问"的响应头。如果网站配置了 HSTS，但证书已过期或不可信，浏览器会完全拒绝加载该网站（即便用户点击"继续访问"也无法绕过）。

典型表现：

错误页面无法点击"继续前往"
浏览器显示：HSTS policy was violated

解决方案：

立即修复底层证书问题
如果短期内无法修复，在 DNS 层面暂停 HSTS（通过将 max-age 设为 0 的响应头）

正确的 HSTS 配置（Nginx 示例）：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

⚠️ preload 指令会将域名加入浏览器内置 HSTS 预加载列表，无法轻易撤销，请确认后再添加。

原因九：中间人劫持（MITM）

在某些企业网络、公共 WiFi 或代理环境中，流量会被中间人劫持：代理服务器使用自己的证书（通常是自签名或企业根证书）对流量进行解密和重加密。如果浏览器不信任该证书，就会报告不安全。

典型场景：

企业内网使用了 SSL 代理/审查网关
学校、酒店、咖啡厅等公共网络的强制门户
防病毒软件启用了 HTTPS 扫描（如 Avast、卡巴斯基）

解决方案：

这是网络层面的主动干预，与网站本身的 SSL 配置无关
如果你是网络管理员，客户端需要安装企业根证书
如果你是普通用户，暂时切换到可信网络环境

快速自检清单

当遇到 HTTPS 报告不安全时，可以按以下顺序快速排查：

序号	检查项	快速命令 / 方法
1	证书是否过期	`openssl s_client -connect example.com:443 2>/dev/null \	openssl x509 -noout -dates`
2	证书是否匹配当前域名	浏览器点击锁图标 → 证书 → 查看主体名称
3	证书是否由受信任 CA 签发	`openssl s_client -connect example.com:443 -showcerts 2>/dev/null` 查看证书链
4	TLS 版本是否过旧	使用 SSL Labs 在线检测
5	是否有混合内容	浏览器 F12 → Console 查看 `Mixed Content` 警告
6	是否被 HSTS 阻止	清除浏览器 HSTS 缓存，或使用隐私模式访问
7	证书是否被吊销	CA 官网查询 CRL / OCSP

工具	用途
SSL Labs SSL Test	在线 HTTPS 全面检测，输出 A-F 评级
Why No Padlock?	专门检测混合内容问题
certificate-search	查询 Certificate Transparency 日志
ImmuniWeb	AI 驱动的 HTTPS 安全检测
Chrome / Firefox DevTools	实时检测混合内容、控制台警告

总结

HTTPS 报告不安全的根本原因可以归纳为三类：

证书问题：过期、不匹配、不受信任、被吊销
协议问题：TLS 版本过旧、配置错误
内容问题：混合内容（HTTP 资源引用）

按照本文的排查清单逐项检查，90% 的 HTTPS 不安全警告都能在 10 分钟内定位并解决。如果问题涉及 OV/EV 证书升级、HSTS 配置或更复杂的架构问题，欢迎联系 EveryoneTrust SSL 客服获取专业支持。

👉 如果你需要一张浏览器全平台信任、OV/EV 企业级验证的 SSL 证书，请访问 **EveryoneTrust SSL 证书购买与价格页**。

HTTPS "不安全" 的本质原因

原因一：SSL 证书已过期

原因二：证书与域名不匹配

原因三：证书由不受信任的 CA 签发

原因四：TLS 协议版本过旧

原因五：混合内容（Mixed Content）

原因六：证书被吊销或 OCSP 失败

原因七：SNI 不匹配

原因八：HSTS 配置问题

原因九：中间人劫持（MITM）

快速自检清单

推荐工具

总结