一、问题现象与排查逻辑

当网站完成SSL证书部署后，浏览器地址栏出现”不安全”提示的常见场景包括：

地址栏显示灰色”不安全”警告
页面加载时出现混合内容警告
证书详情显示”此证书不受信任”
特定浏览器（如旧版IE）直接阻断访问

这类问题通常与证书链完整性、协议配置或系统时间有关。建议按照”证书有效性→配置正确性→系统环境”的顺序进行排查。

二、证书链完整性检查

2.1 证书文件结构验证

完整的PEM格式证书应包含：

-----BEGIN CERTIFICATE-----
（服务器证书内容）
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
（中间证书内容，如有）
-----END CERTIFICATE-----

使用openssl命令验证证书链：

openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -noout -text

输出应包含完整的证书颁发路径（Certificate chain）。

2.2 证书链补全方法

若缺少中间证书，可通过以下方式获取：

从证书颁发机构（CA）官网下载完整证书包

使用openssl命令提取：

openssl s_client -connect example.com:443 -showcerts </dev/null | awk '/BEGIN CERT/,/END CERT/{print}' > fullchain.pem

在Web服务器配置中合并证书文件（Nginx示例）：

ssl_certificate /path/to/fullchain.pem;
ssl_certificate_key /path/to/private.key;

三、混合内容问题处理

3.1 混合内容识别

当页面同时加载HTTP和HTTPS资源时，浏览器会显示混合内容警告。可通过以下方法检测：

浏览器开发者工具（F12）→ Console标签页
使用在线工具：https://www.whynopadlock.com/

curl命令检查：

curl -I https://example.com | grep -i "content-security-policy"

3.2 强制HTTPS重定向

在Web服务器配置中添加重定向规则：
Nginx配置示例：

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

Apache配置示例：

<VirtualHost *:80>
    ServerName example.com
    Redirect permanent / https://example.com/
</VirtualHost>

3.3 资源协议升级

修改HTML中的资源引用：

<!-- 修改前 -->
<img src="http://example.com/image.jpg">
<!-- 修改后 -->
<img src="//example.com/image.jpg" onload="this.src='https:'+this.src">

四、证书有效期验证

4.1 证书过期检查

使用以下命令验证证书有效期：

openssl x509 -in /path/to/certificate.pem -noout -dates

输出示例：

notBefore=Jan  1 00:00:00 2023 GMT
notAfter=Dec 31 23:59:59 2023 GMT

4.2 系统时间同步

证书验证依赖系统时间，可通过NTP服务同步：

# CentOS系统
yum install ntp -y
systemctl start ntpd
systemctl enable ntpd
# Ubuntu系统
apt-get install ntp -y
service ntp restart

五、协议与加密套件优化

5.1 禁用不安全协议

在Web服务器配置中禁用SSLv3、TLSv1.0等旧协议：
Nginx配置：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256...';

5.2 HSTS策略配置

启用HTTP严格传输安全：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

六、证书吊销状态检查

使用openssl验证证书吊销状态：

openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -noout -ocsp_uri

若返回OCSP地址，需确保服务器可访问该地址。对于大规模部署，建议配置OCSP Stapling：

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

七、浏览器特定问题处理

7.1 证书存储区清理

某些浏览器会缓存证书状态，可尝试：

清除SSL状态（Chrome设置→隐私设置→内容设置→证书）
使用隐私模式访问
更换浏览器测试

7.2 企业根证书信任

若使用自签名证书，需将根证书导入系统信任库：
Linux系统：

sudo cp root_ca.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

Windows系统：
通过certmgr.msc导入证书到”受信任的根证书颁发机构”

八、自动化监控方案

建议配置监控告警系统，实时检测证书状态：

使用Prometheus+Blackbox Exporter监控证书过期时间
配置Zabbix的SSL证书监控项
设置Cron任务定期检查：
```bash

!/bin/bash

END_DATE=$(openssl x509 -in /path/to/cert.pem -noout -enddate | cut -d= -f2)
END_TIMESTAMP=$(date -d “$END_DATE” +%s)
NOW_TIMESTAMP=$(date +%s)
DAYS_LEFT=$(( (END_TIMESTAMP - NOW_TIMESTAMP) / 86400 ))

if [ $DAYS_LEFT -lt 30 ]; then
echo “WARNING: Certificate expires in $DAYS_LEFT days” | mail -s “Cert Alert” admin@example.com
fi
```

总结与最佳实践

证书管理：建立证书生命周期管理系统，设置自动续期提醒
配置审计：定期检查Web服务器配置是否符合安全最佳实践
性能优化：启用TLS 1.3和现代加密套件提升性能
灾备方案：保持证书文件的离线备份，防止配置丢失

通过系统化的排查流程，90%以上的SSL不安全问题可在30分钟内定位解决。对于大型分布式系统，建议采用自动化证书管理工具（如Let’s Encrypt的Certbot）实现证书的自动部署和更新。

SSL证书部署后网站仍显示不安全？全面排查与修复指南