网站之间建立的连接不安全怎么办

浏览器地址栏里那个小锁图标突然变成"不安全"三个字的网站时候，很多人第一反应是建立接关掉页面。但关掉解决不了问题——你只是安全躲开了这一次，下次访问同一个网站，网站警告还在。建立接

网站之间的安全连接不安全，根源通常出在三个地方：SSL证书过期或配置错误、网站网站还在用HTTP协议、建立接或者页面里混入了来自HTTP源的安全资源。前两个是网站网站自己的问题，第三个往往是建立接开发者偷懒造成的。

证书过期：最常见的安全"不安全"

我帮一个做外贸的朋友看过他的独立站。客户反馈说浏览器报红，网站他以为是建立接服务器被黑了。登上去一看，安全Let's Encrypt的证书三天前到期了，自动续期脚本因为权限问题没跑起来。就这么个小问题，他丢了两单询盘。

证书过期是"不安全"警告里最容易修复的一种。如果网站用的是Let's Encrypt这类免费证书，检查cron任务或systemd timer是否正常执行。付费证书的话，登录CA后台重新签发，部署到服务器，重启Web服务就行。关键是要设置到期提醒，别等浏览器替你发现。

混合内容：最隐蔽的坑

页面本身是HTTPS，但里面加载了一张HTTP的图片、一段HTTP的JS脚本，浏览器照样标记为不安全。这种情况比证书过期更隐蔽，因为地址栏可能只显示一个灰色的"i"而不是红色警告，普通用户根本注意不到。

打开开发者工具，看Console面板，如果有"Mixed Content"的报错，那就是了。解决办法不复杂：把页面里所有资源的URL从http://改成https://。但麻烦在于，有些第三方服务不提供HTTPS版本，或者老旧的CMS系统在数据库里存了大量HTTP链接。这时候要么换服务商，要么用协议相对URL（//example.com/img.jpg），让浏览器自动匹配当前页面的协议。

HSTS：让浏览器记住"只走安全通道"

光有HTTPS还不够。用户第一次访问时如果输的是http://，服务器返回301跳转到https://，这个跳转过程本身可能被中间人劫持。HSTS（HTTP Strict Transport Security）解决的就是这个问题——服务器告诉浏览器："以后这个域名，一律用HTTPS，别问我HTTP。"

在Nginx里加一行配置就能开启：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

但注意，HSTS是把双刃剑。一旦开启，在max-age有效期内，用户无法通过点击"继续访问"来绕过证书错误。如果证书配置出了问题，网站会彻底打不开。所以先确认HTTPS全站可用，再开HSTS。

该换证书就换，该改代码就改

有人问我，网站不安全是不是换个贵点的证书就好了。不是。DV、OV、EV证书的区别在于验证级别和显示效果，跟"不安全"警告没有直接关系。一个配置正确的免费DV证书，比一个配置错误的付费EV证书要安全得多。

真正要做的：检查证书有效期、扫描混合内容、开启HSTS、把HTTP永久重定向到HTTPS。这四步做完，99%的"不安全"警告都会消失。剩下的1%，可能是服务器被入侵、DNS被劫持，那就不是改配置能解决的了，得从系统层面排查。

别等到用户截图发来问"你们网站怎么了"才动手。设个日历提醒，证书到期前两周处理；上线前跑一遍SSL Labs测试，拿个A级再发布。这些事花不了多少时间，但能省掉很多解释的麻烦。