网站没做 SSL 会被浏览器拦？五分钟自查与补救

先说清楚“被拦”是哪种拦

外贸客户说的“网站被拦”，通常是三种不同的情况，处理方式完全不同：

1. 浏览器提示“不安全”：地址栏显示“Not secure”，或者点提交表单时弹出警告
2. 页面打不开，显示证书错误：NET::ERR_CERT_DATE_INVALID 之类的红屏
3. 被安全软件或企业网关拦住：对方公司网络判定站点有风险

第一种最常见，也最好解决；第二种是证书过期或配置错误；第三种多半是域名历史或被列入黑名单。

这篇讲前两种——因为它们占九成，而且完全可以在建站阶段避免。

浏览器现在会主动提醒

从 2018 年起，Chrome 对 HTTP 页面直接标“不安全”。这个提示在地址栏左边，红灰色，很显眼。

更麻烦的是表单。HTTP 页面上放一个询盘表单，用户点提交时，Chrome 会弹出“此表单不安全”的警告。这一下，转化率会掉得很厉害——没人愿意把自己的邮箱填进一个被浏览器警告的页面。

对 B2B 买家来说，这个提示的影响更大。他的判断很直接：这家公司连证书都没装，付款和寄样给出去安全吗。

证书有三种，外贸站选哪种

绿色的地址栏现在主流浏览器已经不再显示了，所以 EV 的视觉优势基本消失。实际选择上：

• 展示型外贸站，DV 证书够用，很多 CDN 和主机都免费提供
• 客户会点开锁图标看公司名的场景（比如大企业采购），OV 更合适
• EV 现在的价值主要是内部合规要求，不是为了视觉效果

关键不在证书等级，而在有没有、配得对不对。

装了证书还可能被拦的三个原因

一是证书过期。 免费证书通常 90 天有效，需要自动续期。自动续期失败，到期当天全站变成红屏，客户一个都进不来。这是最常见的事故。

二是混合内容（Mixed Content）。 主页面是 HTTPS，但里面引用了 HTTP 的图片、脚本或接口。浏览器会把这类资源拦掉，页面上出现空白图片或功能失效，地址栏也可能显示“部分不安全”。

外贸站特别容易踩这个坑：产品图是从老站直接引用的绝对地址，图床还是 http。

三是域名与证书不匹配。 证书签给的是 www 版本，用户访问的是不带 www 的，或者反过来。这种情况浏览器同样报警告。

自己怎么验，五分钟

打开你的站，做四件事：

1. 看地址栏：有没有锁图标，点开看证书颁发给谁、有效期到什么时候
2. 打开控制台：按 F12 看 Console，搜 “mixed content” 或红色报错，有就是混用
3. 点一次表单提交：看会不会弹不安全警告
4. 跑一次 SSL Labs 测试：输入域名，看评级。A 及以上合格，B 说明配置有缺失，C 以下要改

第四项最适合拿来验收。它会明确指出协议版本、加密套件、证书链、HSTS 的具体问题。

补起来要做的五步

第 5 步 HSTS 要注意：开启后浏览器会强制只用 HTTPS 访问，如果证书出问题，用户连“继续访问”的选项都没有。所以要先确保自动续期稳定，再开 HSTS。

第 4 步是最容易被忽略的。证书过期这种事，平时没人管，出事就是全站不可用。正规做法是配置监控告警，到期前 30 天开始提醒。

证书之外，还有两处影响“能不能被信任”

一是邮件的发信认证。 客户收到你的报价邮件，如果发件域名没有配 SPF、DKIM、DMARC，很多企业邮箱会直接判为可疑。这跟网站证书是两件事，但客户感受到的都是“这家公司不太正规”。配置方法在域名买了怎么配企业邮箱那篇里有提及。

二是隐私合规。 欧洲客户看到没有隐私政策、没有 Cookie 提示的站，会担心合规问题。GDPR 相关的四个必备组件，这篇GDPR、CCPA 合规讲得比较具体。

建站时的三句话

把这三句写进需求里，能省掉上线后的返工：

1. 全站强制 HTTPS，HTTP 自动 301 跳转
2. 证书配置自动续期，并设置到期告警
3. 交付前跑一次 SSL Labs，评级不低于 A

这三条不涉及钱，涉及的是有没有把这件事当回事。

如果站已经上线，建议现在就打开测一次。证书过期、混合内容这些问题，自己看五分钟就能发现，不用等客户来告诉你。

想对照一个配置完整的站，可以打开我们的外贸站点案例，点开地址栏的锁图标看证书信息，再用 SSL Labs 测一遍。这类基础项在外贸独立站服务的交付清单里是标配。