浏览器提示 HTTPS「不安全」怎么排查？证书过期、域名不匹配还是自签证书

浏览器提示「不安全」，先别急着怀疑网站被攻击。绝大多数情况是 HTTPS 证书出了问题：证书过期、证书域名不匹配、或者用的是自签证书。这三种都会让浏览器拒绝信任连接，但原因和修法完全不同。

用宝塔拨测的 SSL 证书检测 输入域名，就能看到证书状态、剩余天数、签发机构、证书域名等字段，一次判断到底卡在哪一步。

「不安全」的三种常见证书原因

浏览器地址栏显示「不安全」或「证书错误」，通常是下面三种证书问题之一：

原因	浏览器表现	怎么确认
证书过期	提示「证书已过期」	SSL 检测显示「已过期」，或剩余天数 ≤ 0
域名不匹配	提示「证书域名不匹配」	SSL 检测显示「无效」，无效原因是 hostname_mismatch
自签 / 不受信任	提示「证书不受信任」	SSL 检测显示「无效」，证书签发机构不在浏览器信任根

宝塔官方文档也明确了这几种情况：自签证书「通常会被浏览器提示该连接不安全，这是由于自签证书未被浏览器普遍信任」；证书同步部署失败时，常见原因之一就是「证书域名不匹配」。

实测：正常证书长什么样

我对 www.bt.cn 做了一次 SSL 证书检测，结果状态为「正常」（VALID），可以作为判断基准：

字段	本次结果
证书状态	正常（VALID）
证书域名	*.bt.cn（通配符）
证书类型	OV 证书
签名算法	RSA 2048 bits
剩余有效天数	119 天
证书链	3 级（站点证书 → 中间 CA → 根证书）

正常证书的几个特征：状态是「正常」、剩余天数充足、证书链从站点证书一路连到受信任的根证书。只要这几项都齐，浏览器就不会提示「不安全」。

实测：域名不匹配，状态是「无效」

再看一个反面例子。我对 wrong.host.badssl.com 做 SSL 证书检测，结果为「无效」（INVALID），无效原因是 hostname_mismatch（域名不匹配）：

字段	本次结果
证书状态	无效（INVALID）
无效原因	hostname_mismatch（域名不匹配）
证书域名	*.badssl.com（通配符）
证书类型	DV 证书（Let’s Encrypt 签发）
剩余有效天数	61 天

这张证书本身没过期，剩余 61 天也充足，但它的域名是 *.badssl.com，只覆盖 badssl.com 和它的一级子域名。而访问的是 wrong.host.badssl.com 这种多级子域名，通配符证书覆盖不到，于是浏览器判定「证书域名不匹配」。

这正是「域名不匹配」的典型场景：证书是有效、未过期的，只是签发的域名范围和你访问的域名对不上。修法是换一张覆盖当前域名的证书，而不是续签。

自签证书为什么也会提示「不安全」

还有一种常见情况是自签证书。它同样能完成 HTTPS 加密，但证书不是由受信任的 CA（证书颁发机构）签发，浏览器内置的信任根里查不到它，无法验证证书真实性，于是提示「连接不安全」「证书不受信任」。

在 SSL 证书检测结果里，自签或不受信任的证书会显示为「无效」，且签发机构不是公开受信任的 CA。要解决，需要换成由受信任 CA 签发的证书（如 Let’s Encrypt、宝塔商用证书等）。

排查完怎么处理

三种原因对应三种处理方式：

• 证书过期 → 尽快续签或重新申请。宝塔面板在「证书管理」中可开启「到期提醒」，到期前自动提醒更换，避免临时才发现。
• 域名不匹配 → 换一张覆盖当前访问域名的证书。确认证书的「证书域名」字段是否包含你实际使用的域名。
• 自签 / 不受信任 → 改用受信任 CA 签发的证书，而不是继续用自签证书。

排查证书问题，核心就是一句话：用 SSL 证书检测看「状态 + 剩余天数 + 证书域名」三项，就能从「不安全」这个笼统提示里，定位到具体是过期、不匹配还是不受信任。