我上周帮朋友看他的公司公司官网，Chrome 直接给他标了个大红叉——“不安全”。网站他一脸懵，显示说网站能打开，不安业务也在跑，全解怎么就不安全了？公司我点开一看，地址栏是网站 http，不是显示 https。就这一个区别，不安足以让所有现代浏览器把你的全解网站当成“裸奔”。

这事说大不大，公司说小不小。网站用户看到那个红叉，显示第一反应是不安关掉页面，而不是全解去探究你网站到底安不安全。尤其做电商、做表单收集的，转化率直接腰斩。我见过一个做外贸的哥们，网站流量没变，询盘量却掉了一半，排查半天，发现就是 SSL 证书过期了，浏览器直接拦截，客户根本进不来。

解决的第一步，你得有张 SSL 证书。别慌，这玩意儿不一定要花钱。Let's Encrypt 提供免费证书，有效期三个月，自动续期的话基本不用管。如果你用的是阿里云、腾讯云这类国内服务商，它们也有免费的 DV 证书可以申请，一年有效，操作后台点几下就行。申请下来后，在服务器上配置好，把网站的 http 请求全部 301 跳转到 https，这一步别偷懒，不然用户访问老链接还是会看到警告。

配完证书，你以为就完了？还早。我见过不少网站，证书装了，但页面里的图片、脚本、样式表还在用 http 链接加载。这叫“混合内容”，浏览器照样给你标不安全。你打开开发者工具，看 Console 面板，一堆红色的报错，全是 Mixed Content。解决办法简单粗暴——把数据库里所有 http:// 开头的资源链接批量替换成 https://，或者干脆用相对路径，让浏览器自动匹配协议。别嫌麻烦，这一步不做，等于白配证书。

还有一种情况，证书没到期，但浏览器提示“证书无效”。你点开详情，发现域名对不上。比如你证书买的是 www.example.com，但用户访问的是 example.com，不带 www。这俩在浏览器看来是两个完全不同的站点。解决办法是买一张能同时覆盖主域名和子域名的证书，或者做域名跳转，强制把 example.com 跳到 www.example.com。我自己的博客就栽过这个坑，当时图便宜只买了单域名证书，结果手机端用户访问裸域名直接报错，气得我连夜改了跳转规则。

最后说个容易被忽略的点——证书链不完整。有时候你服务器上只装了证书文件，没装中间证书，浏览器无法验证证书的信任链，也会报错。这种情况在 Nginx 配置里很常见，你需要把证书文件和中间证书合并成一个 .crt 文件再上传。怎么判断？用 SSL Labs 的在线检测工具，输你的域名，它会告诉你证书链是否完整、协议版本是否过老。测一次，心里就有底了。

处理完这些，再用无痕模式访问你的网站，地址栏应该出现一把小锁。如果还有问题，别瞎猜，直接看浏览器报的具体错误代码，比如 ERR_CERT_DATE_INVALID 是时间不同步，ERR_CERT_AUTHORITY_INVALID 是证书不被信任。对症下药，比自己瞎折腾快得多。网站不安全这个红叉，说到底就是个技术债，早还早安心，别等用户流失了才想起来补。