浏览器地址栏里那个小锁图标，网站证书点开之后能看到一串让人犯困的网站证书字符——那就是网站证书。大多数人从来不看，网站证书但它一旦出问题，网站证书页面会直接弹出血红色的网站证书警告，拦着你不让走。网站证书

我头一回认真琢磨这东西，网站证书是网站证书因为朋友发来一个链接，说是网站证书个小众购物网站，折扣低得离谱。网站证书点进去，网站证书Chrome 直接甩出一整屏红色，网站证书写着“您的网站证书连接不是私密连接”。他截图问我怎么回事，网站证书我说别买了，网站证书这站要么证书过期，要么压根没配好。他不信，换了个浏览器硬闯进去，填了卡号。三天后银行打电话来，说有一笔境外消费需要确认。钱最后追回来了，但那个红屏警告，他后来再也不敢无视。

网站证书本质上是一份电子身份证。你访问某个域名，服务器把证书递过来，浏览器检查三件事：谁签发的、有没有过期、证书里的域名跟你访问的是不是同一个。都对了，才建立加密通道。签发证书的机构叫 CA，像 DigiCert、Let's Encrypt 这些。浏览器和操作系统内置了一份受信任 CA 的名单，不在名单里的，一律不认。

Let's Encrypt 在 2015 年上线之后，免费证书把整个局面搅动了。以前一张 DV 证书一年要几十到几百块，小站长能省就省，干脆裸奔 HTTP。现在自动化签发，九十天有效期，到期自动续。我自己的几个小站全挂的 Let's Encrypt，cron 任务跑着，基本不用管。偶尔忘了续，浏览器立刻翻脸，比房东催租还准时。

证书类型分三种。DV 只验证域名所有权，签发最快，适合个人博客和小工具站。OV 要查企业工商信息，证书详情里能看到公司名。EV 最严，以前地址栏会显示绿色公司名，后来 Chrome 和 Firefox 把这项待遇取消了，说是容易被用户误读成“绝对安全”。其实 EV 和 DV 在加密强度上没差别，区别只在身份核验的深度。

证书出错的情况我遇到过几次。最常见的是过期，尤其是那些手动续期的老站点。另一种是域名不匹配，比如证书签给 www.example.com，你访问 example.com 就报警。还有一种是中间证书没配全，桌面浏览器可能正常，但手机上一访问就挂。我帮人排查过一回，服务器上证书链缺了一环，安卓 WebView 直接拒绝加载，折腾半天才定位到。

自签名证书也值得说一句。开发环境里经常用，浏览器不认，得手动导入信任。有人图省事，生产环境也挂自签名，结果用户全被拦在门外。这操作等于给自家店门装了把只有自己能开的锁，然后抱怨没客人。

看证书其实不难。Chrome 里点地址栏的锁，选“连接是安全的”，再点“证书有效”，就能看到签发者、有效期和指纹。Firefox 在锁图标里直接有“更多信息”。花十秒钟扫一眼有效期，能避开不少坑。尤其是那些看起来就不太对劲的网站，证书信息往往第一个露馅。

说到底，网站证书不是万能的。它保证你连的是对的服务器，传输过程没被偷看，但不保证服务器后面的人靠谱。钓鱼站也能申请免费证书，照样挂着小锁。锁只代表管道加密了，不代表管道那头是好人。这个区别，很多人搞混。

下次再看到红色警告，别点“继续访问”。那一下点击，省的是几秒钟，赌的是银行卡余额。