内容摘要：打开那个页面的时候，浏览器地址栏前面确实挂着一把绿色的小锁。点开一看，证书是 Let's Encrypt 签发的，有效期还有两个月。页面底部一行灰字：“本网站已通过 256 位 SSL 加密认证，请放

打开那个页面的男床时候，浏览器地址栏前面确实挂着一把绿色的行广小锁。点开一看，网站证书是已安 Let's Encrypt 签发的，有效期还有两个月。男床页面底部一行灰字：“本网站已通过 256 位 SSL 加密认证，行广请放心浏览。网站”配了个盾牌图标，已安挺像那么回事。男床

但页面标题写的行广是“男子床上不行怎么办”。正文第一段就开始推销一种叫“肾宝片”的网站东西，说是已安西藏某藏药厂秘制，一个疗程见效，男床两个疗程根治。行广价格倒不贵，网站298 元三盒，买五盒送两盒。底下评论区清一色“用了三天就有感觉”“老婆现在主动了”，头像全是网图，名字都是“用户+数字”的格式。

我盯着那把绿色小锁看了几秒。HTTPS 加密是真的，证书也是真的。可这跟“床上行不行”有半毛钱关系吗？

SSL 证书只证明一件事：你从浏览器到服务器之间的数据传输是加密的，别人截不到。至于服务器那头是谁、卖的是真药还是面粉、有没有行医资质，证书一概不管。换句话说，一个小偷也可以给自己的钓鱼网站申请一张 DV 证书，十分钟搞定，免费。绿色小锁亮起来的时候，它只代表“这条线是加密的”，不代表“这个人是好人”。

这道理其实不复杂。但很多人看到那个锁，心里就踏实了。尤其是中老年男性，在搜索引擎里输入“硬度不够”“时间短”之类的词，跳出来一堆这种页面。每个都带锁，每个都写着“安全认证”，每个都在卖东西。他们分不清 SSL 和 FDA 的区别，也分不清“加密传输”和“药品有效”之间的鸿沟。那把锁在他们眼里，约等于“正规”“可信”“国家认可”。

我查了一下那个域名的注册信息。注册时间是去年 11 月，注册商在境外，Whois 隐私保护开着，看不到真人。服务器 IP 在东南亚。页面上留的客服电话是个 170 开头的虚拟号段。所谓“藏药厂”的地址，我搜了一下，是拉萨某居民小区的一间出租屋。这些东西，SSL 证书一个都拦不住。

更讽刺的是，那个“安全认证”的盾牌图标，是页面自己画的。HTML 里就是一个 div 加背景图，跟证书没有任何技术关联。你想的话，可以给自己家猫的照片配一句“本猫已通过 ISO9001 认证”，也没人管。

所以问题不在那把锁。锁本身没骗人，它老老实实告诉你“这条连接是加密的”。骗人的是那个页面，它把“加密”偷换成了“安全”，把“安全”偷换成了“可信”，再把“可信”偷换成了“有效”。三步偷换下来，一个卖假药的网站就变成了“已安全认证”的正规平台。而用户呢，只看到了最后那个盾牌。

我关掉页面之前，看了一眼底部的“用户评价”。最新一条是今天早上发的：“买了十盒，吃了半个月，一点用没有，客服也不回消息。”这条评论下面，紧跟着三条“感谢分享，我也试试”的回复。头像还是那几张网图。

那把绿色小锁还在地址栏里亮着。它什么都没做错。它只是被当成了道具。