网站提示"不安全"、打不开了：SSL 证书到期前后的排查与续期

SSL 证书的作用，是让浏览器和服务器之间的传输加密，并在地址栏显示那把小锁。证书都有有效期，到期没续，浏览器就会报警。很多企业的证书是建站时一起配的，之后没人管，过期了才发现。下面按排查顺序，一步步来。

一、先确认：真的是证书过期吗

别一上来就续费，先点一下地址栏那个"不安全"或锁形图标，选"证书"或"连接安全"，看证书详情里的"有效期至"日期。如果已经过了今天，那就是过期；如果还没过期却报警，问题在别处。

几种常见的"不是过期"的报警：域名和证书对不上——比如证书只绑了 www.xxx.com，你用不带 www 的 xxx.com 访问，就会报警，这种要换一张多域名或泛域名证书；网站里混入了 http 链接（下面第四节细讲）；还有一种是电脑本地时间错乱，时间差太多也会报证书无效，先对一下系统时间再说。

确认过期的办法不止浏览器一种。服务器控制台（阿里云、腾讯云的证书管理页面）能看到每张证书的到期日；技术人员也可以用 openssl 命令直接读：openssl s_client -connect 你的域名:443，一眼看到有效期。建议把证书到期日记到日历里，提前一个月提醒，比过期了再救火强得多。

二、证书还剩多久，去哪里查最快

最快的是浏览器点锁形图标，看"有效期"。如果想一次查多个域名，或者想看得更细，可以用在线 SSL 检测工具，输入域名就能看到颁发机构、有效期、链是否完整。服务器上有运维人员的，直接看服务商控制台，证书列表里到期日一目了然。

这里有个时间概念：免费证书（比如 Let's Encrypt）有效期只有 90 天，靠自动续期活着；付费证书一般按年，DV、OV、EV 类型不同，价格和审核严格程度不同，企业官网用 DV 单域名或泛域名居多。知道自己手里是哪种证书，后面续期才不会走错路。

三、续期实操：免费和付费证书走的不是一条路

先说免费证书。Let's Encrypt 这类 90 天证书，正常情况是自动续期的，常见的是服务器上装了宝塔面板或 acme.sh 定时任务。但自动续期会失效：服务器时间不对、80 端口被墙、DNS 解析变了，都会导致续期失败。所以"免费自动"不等于"不用管"，最好每季度让技术人员看一眼续期日志，确认最近一次续期成功了。

宝塔面板用户最省事：面板的 SSL 页面点"续签"或等自动任务，续完记得点"部署"，把新证书装到站点上——只续不部署，访客看到的还是旧证书，这个坑很多人踩过。命令行用 acme.sh 的，续期后检查一下定时任务（crontab）还在不在，服务器重启或迁移后定时任务丢了的不少见。

付费证书按年走：到期前服务商一般会发邮件提醒，续费后要重新走一遍申请、验证域名、下载证书、上传到服务器的流程。注意保存好私钥（key 文件），丢了私钥，证书就得重新申请。泛域名证书一般用 DNS 验证，多等十几分钟让 DNS 生效，别反复提交把验证次数耗光了。

四、换上新证书还报"不安全"：查混合内容

证书换好了、浏览器里有效期也对了，但地址栏还是"不安全"，八成是混合内容（Mixed Content）：页面是 https 打开的，但里面嵌了 http 的图片、JS 或 CSS。浏览器对这种"半加密"页面照样报警。

查的办法：F12 打开开发者工具，切到 Console（控制台）， mixed content 的警告会一条条列出来，告诉你是哪个文件走了 http。改法就是把那些 http 链接改成 https，或者改成相对路径。常见重灾区：编辑器里粘贴的图片用了绝对 http 地址、第三方统计代码或字体用了 http、模板里写死的 http 引用。改完清一下浏览器缓存再看，缓存里的旧页面会骗人。

五、几个容易踩的坑

一是 CDN。网站前面如果套了 CDN，证书要在 CDN 控制台上也更新，只换源站不换 CDN，访客走的还是旧证书。二是多站点共用一张证书：泛域名证书管 *.xxx.com，但裸域名 xxx.com 不一定在里面，续的时候核对一下 SAN 列表。三是测试环境：先在测试域名或 hosts 绑定的方式下验证新证书没问题，再切生产，别直接在生产环境试。四是提前量：别等到过期当天才续，提前 15 到 30 天，留出验证和回滚的时间。

常见问题

问：证书过期期间，网站数据会丢吗？
不会。证书只管加密传输，不管数据。过期期间网站程序和数据库都在，该备份备份，该续期续期，别病急乱投医去重装服务器。

问：免费证书和付费证书，安全性差很多吗？
加密强度上没差别，区别在有效期、保险额度和企业信息展示。普通企业官网，免费证书够用；涉及在线支付、金融、政府类，对证书类型有合规要求的，按要求买付费的。

问：续了证书，微信里分享还是提示风险怎么办？
那是两回事。微信的域名拦截和 SSL 无关，证书修好了，如果微信还拦截，得去微信那边申诉解封，别在证书上继续折腾。

证书这类基础事项，最怕的不是难，而是没人记得。建议把公司所有域名的证书到期日整理成一张表，设好提前提醒，一年花十分钟，能省掉一次半夜救火的麻烦。如果域名多、服务器杂，自己理不清，也可以找长期合作的建站公司托管起来——证书续期、服务器续费、网站备份一起管，比每次都临时抱佛脚靠谱。

返回首页 上一篇：手机上打开网站排版全乱了：先分清这 4 类原因再动手修