打开浏览器，网站输入360官网，证书地址栏旁边那个小锁图标上直接打了个红叉。不受点开一看，信任提示“此网站的网站安全证书不受信任”。这事儿我碰见不下十回了，证书每次都得手动点“继续访问”才能进去。不受

按理说，信任360自己就是网站做安全的，自家网站证书出问题，证书多少有点黑色幽默。不受可现实是信任，这个问题从几年前就存在，网站断断续续，证书至今没消停过。不受不是证书过期，就是证书链不完整，有时候干脆是证书域名对不上——你访问的是www.360.cn，证书却只覆盖了360.cn，不带www前缀。浏览器较真起来，压根不认。

有人说，这有啥大惊小怪的，点一下“高级”，再点“继续前往”不就完了？对，普通用户确实能绕过去。但你想过没有，一个天天教用户“注意上网安全”“别乱点证书警告”的安全公司，自己的网站却天天让用户点“例外”，这不等于自己抽自己脸吗？

更麻烦的是，很多企业内网、学校机房用的都是严格模式的浏览器策略，遇到不受信任的证书直接拦截，连“继续访问”的选项都不给。我有个朋友在事业单位做运维，他说单位电脑全装了360浏览器，但访问360官网下载软件时，反而被浏览器拦了——因为证书链里缺了中间证书，系统不认。最后他只能让同事用别的浏览器下载，再传过来装。你说滑稽不滑稽。

技术上这事儿其实不难解决。证书不受信任，无非三个原因：证书过期没续、证书链没配全、或者用了自签名证书没装根证书。360这么大公司，运维团队不可能不会配。那为啥老出问题？我猜大概率是内部流程混乱——不同部门管不同的子域名，证书各自申请，没人统一盯有效期，也没人做全站HTTPS巡检。结果就是，某个子域名证书悄悄过期了，直到用户报障才发现。

还有一次，我注意到360的下载站http和https混着来。你访问https版本，它给你返回一个http的下载链接，浏览器地址栏那个锁又变成了“不安全”。这种半吊子HTTPS部署，比纯http更让用户困惑——到底安不安全？你倒是给个准话。

我特意查过，360的证书签发机构是GlobalSign，正规CA，没问题。问题就出在部署环节。有一次证书链里中间证书没上传，导致安卓手机自带浏览器直接报错，PC端Chrome倒是能自动补全，但Firefox就死活不认。你看，同一个网站，不同浏览器表现还不一样，用户根本搞不清是网站的问题还是自己电脑的问题。

说句难听的，这事儿要是发生在个人站长身上，大家还能理解，毕竟小站没专职运维。但360是头部互联网公司，安全业务是命根子，自家门面都收拾不利索，用户凭什么信你能保护好我的电脑？我见过不止一个用户因为这个证书报错，以为360官网被钓鱼了，转头就去下载了山寨版“360安全卫士”——那才是真危险。

好在最近半年情况似乎好转了些，至少主站证书没再出大岔子。但那些边缘业务域名，像“open.360.cn”、“bbs.360.cn”，偶尔还是能碰到证书提示。我真心建议360的运维团队，搞个自动化证书监控，到期前30天自动告警，别老让用户当你们的测试员。毕竟，安全公司的网站证书不可信，这事儿本身就不安全。