你点开一个链接，网站网站未经浏览器没跳转，开显反而弹出一整页红色警告——“此网站未经过身份验证”。过身底下小字写着“攻击者可能试图窃取你的份验信息”。你关掉页面，网站网站未经心里骂了一句，开显但下次再遇到，过身可能还是份验不知道到底发生了什么。

这事我上周刚碰上一回。网站网站未经一个做独立博客的开显朋友发来链接，说他换了服务器，过身让我帮忙看看速度。份验我点进去，网站网站未经Chrome 直接拦了。开显他那边截图过来，过身说他自己电脑上能打开。问题就出在这：他本地浏览器缓存了旧证书，或者他之前点过“继续访问”，Chrome 记住了例外。换个设备、换个网络，立刻原形毕露。

“未经过身份验证”翻译成技术语言，就是 SSL/TLS 证书有问题。网站跟浏览器之间本来应该握个手，证书就是那张身份证。身份证过期、名字对不上、或者干脆是伪造的，浏览器就不认。不认的后果不是网站坏了，而是你跟网站之间的通信可能被中间人截获。你输的密码、发的消息，全在别人眼皮底下裸奔。

证书出问题，常见就那么几种。一种是过期。Let's Encrypt 签的证书有效期 90 天，自动续期脚本挂了，第二天就红。我见过一个电商站，凌晨证书过期，早上八点开始订单掉了一半，客服电话被打爆，运维还在睡。另一种是域名不匹配。证书签给 www.example.com，你访问的是 example.com，或者反过来，浏览器就翻脸。还有一种是自签名证书。开发环境里图省事，自己签一个，本地测试没问题，一上线所有用户都看到警告。最麻烦的是中间人攻击——公司网络里装了监控设备，替换掉真证书，浏览器同样报“未经过身份验证”。这时候你点“继续访问”，等于主动把数据送给监控方。

普通用户看到这个页面，第一反应是关掉。这没错。但如果你是这个网站的主人，或者你确信这个网站没问题，那就得动手查。按 F12 打开开发者工具，切到 Security 面板，能看到具体原因。证书过期就续期，域名不匹配就重新签，自签名就换正规 CA。别偷懒点“继续访问”然后保存例外，那等于把门锁拆了还贴张纸条说“欢迎光临”。

浏览器厂商这几年越管越严。Chrome 从 2018 年开始，对所有 HTTP 网站标记“不安全”。现在连证书链不完整、用了弱签名算法，都会直接拦。有人抱怨说太激进，小网站活不下去。但反过来想，如果浏览器不拦，普通用户根本分不清哪个网站是钓鱼的。我宁可多点一次“高级”再点“继续”，也不想在不知情的情况下把银行卡密码交出去。

说个真事。去年有个做外贸的客户，网站突然打不开，显示未验证。他找空间商，空间商说证书没问题。他找我，我 curl 了一下，发现他域名 DNS 被污染，解析到一个假 IP，假服务器上挂了个过期证书。他那边运营商网络正常，所以本地能开。换个网络就完蛋。这种情况，换证书没用，得先解决 DNS 劫持。

所以下次再看到“此网站未经过身份验证”，别急着关。看一眼地址栏，是不是你熟悉的域名。如果是，再决定要不要继续。如果不是，关掉，别犹豫。浏览器已经把风险摆在你面前了，点不点那个“继续访问”，是你自己的事。