浏览器地址栏弹出“不安全”三个字的网站时候，大部分用户的建立第一反应是关掉页面。这个反应没错。不安但如果你是全设这个网站的管理员，关掉页面解决不了任何问题——访客正在流失，置通而你还不知道问题出在哪。网站

我见过一个做手工艺品电商的建立独立站长，网站上线三个月，不安流量一直上不去。全设她以为是置通SEO没做好，折腾了半个月关键词和外链，网站最后发现根源在浏览器给她的建立域名打上了“不安全”标签。Chrome从2018年开始就对所有HTTP站点标记“不安全”，不安Firefox和Edge跟进得更早。全设这不是置通建议，是强制。你的网站只要还在用HTTP协议传输数据，访客看到的就不是你的商品页面，而是一行刺眼的警告。

问题的核心在于SSL/TLS证书。这东西的作用简单说就是给你的网站配一张身份证，让浏览器确认“这个域名确实是它声称的那个站点，数据在传输过程中没有被偷看或篡改”。没有这张证，浏览器和服务器之间的通信就是裸奔状态。你输入的密码、信用卡号、甚至只是浏览记录，都可能在中途被人截获。

解决路径分两种。一种是花钱买商业证书，DigiCert、GlobalSign这些CA机构签发的，价格从每年几十美元到上千美元不等。另一种是Let's Encrypt提供的免费证书，90天有效期，到期自动续签。对绝大多数中小网站来说，后者完全够用。我自己的几个站点全部用的Let's Encrypt，跑了两年多没出过问题。

具体操作流程取决于你的服务器环境。如果你用的是虚拟主机，登录cPanel或者宝塔面板，找到SSL/TLS选项，一键申请Let's Encrypt证书就行。面板会自动配置好证书路径和续签任务。整个过程不超过五分钟。VPS或者独立服务器稍微麻烦一点，需要用Certbot这类工具手动签发，然后修改Nginx或Apache的配置文件，把443端口的监听指向证书文件。

有个细节容易被忽略：证书装好之后，还得把所有HTTP请求301重定向到HTTPS。否则用户通过http://访问你的域名，照样会看到不安全提示。在Nginx里加一段server块监听80端口，return 301 https://$host$request_uri; 就搞定了。Apache的话用.htaccess写RewriteRule，效果一样。

另一个坑是混合内容。页面本身通过HTTPS加载了，但里面引用的图片、脚本、样式表还在用HTTP地址。浏览器会认为页面仍然不安全，地址栏的锁标可能不显示，甚至直接降级回“不安全”状态。打开浏览器开发者工具，Console面板会列出所有混合内容警告。逐个把资源地址改成HTTPS或者相对协议（//开头）就行。

证书过期是另一个高频问题。Let's Encrypt的90天有效期设计初衷是推动自动化续签，但很多人手动申请之后就忘了这回事。到期当天网站直接打不开，浏览器报错NET::ERR_CERT_DATE_INVALID。Certbot自带定时续签任务，装的时候加上--dry-run参数测试一下，确认自动续签能跑通。宝塔面板也有续签开关，记得打开。

说回那个手工艺品站长。我帮她把证书装上、重定向配好、混合内容清理干净，前后不到半小时。一周后她告诉我，Google Search Console里的点击率涨了将近四成。浏览器不再拦截访客，搜索引擎也更愿意给HTTPS站点更高的排名权重。这事没什么技术含量，但你不做，用户就是会跑。

网站不安全这件事，没有“绕过”的说法。要么装证书，要么看着流量归零。选择权在你手里，但用户的耐心不在。

(责任编辑：探索)