SSL证书未过期，网站照样可能提示不安全，因为有效期只是浏览器检查的一项内容。域名对不上、证书链缺失、访问入口还在使用旧证书，都会让HTTPS验证失败。最省时间的处理方法是先记录完整报错，再查看浏览器实际收到的证书，而不是直接续费或购买更贵的产品。
还有一种情况，证书本身正常，网页却加载了不安全的资源；另一种则是网站被标记为欺诈或恶意页面。证书错误要查连接配置，混合内容要改资源地址，欺诈告警要检查网站内容并申请复核，三类问题分别处理。
先看地址和提示全文，别只截一个红色图标
第一眼看地址栏。当前页面如果仍使用HTTP，浏览器提示连接不安全很正常，服务器里装有有效证书，也不会让HTTP请求自动加密。先测试HTTPS地址是否能打开，再处理HTTP跳转、站内链接和入口地址。
HTTPS已经能打开，而HTTP入口没有跳转，就在真正处理请求的CDN、负载均衡或网站服务器上配置跳转。不要各层同时叠加相反的跳转规则，否则可能从“不安全”变成“重定向次数过多”。修改后分别访问两种入口，确认最后停在正确的HTTPS页面。
如果HTTPS本身打不开，记下浏览器的错误代码。例如，域名不匹配常见于NET::ERR_CERT_COMMON_NAME_INVALID，不受信任的问题常见于NET::ERR_CERT_AUTHORITY_INVALID。不同浏览器文字略有差异，完整提示比笼统的“证书有问题”更容易定位。
再点击地址栏中的网站信息，打开证书查看器，记录证书对应的域名、有效期、颁发者和序列号。运维面板显示“已安装”只是服务器管理记录，浏览器收到什么，才是当前访问真正使用的内容。
域名不匹配，先核对证书里到底写了什么
证书要覆盖浏览器访问的那个完整主机名。检查证书详情中的“使用者可选名称”，也就是SAN字段，看当前访问域名是否在其中，不能只看公司名称或证书文件名。
例如，访问api.sslinfo.org，而证书只覆盖sslinfo.org，就需要为接口域名配置覆盖它的证书。主域名有证书，不代表所有子域名都自动获得保护。为通配符范围签发的证书，也只匹配指定范围内的一层子域名，不能跨越任意层级。
先判断是“选错证书”还是“买的范围不够”。如果已有证书包含当前域名，就把它绑定到正确的网站或监听器；只有当前证书确实不包含所需域名时，才需要补充覆盖范围或更换产品。
同一IP上放了多个网站时，还要检查SNI和虚拟主机配置。服务器必须根据请求的域名选出对应证书。错误地返回默认站点的证书，也会造成域名不匹配，此时继续给正确证书续费没有用。
排查时使用原域名访问，不要直接改用服务器IP。普通域名证书通常不覆盖IP地址，改用IP测试会额外制造一个匹配错误，反而掩盖原来的问题。
电脑能打开、手机却报错，重点查证书链
浏览器不仅检查网站这张证书，还要沿着中间证书找到它信任的根证书。如果服务器只配置了网站证书，缺少必要的中间证书，一些设备就无法把这条验证路径接完整。
之所以有人能打开、有人不能，是因为部分设备已经缓存中间证书，另一些设备没有。开发电脑访问正常，不足以证明服务端链配置完整，也不要让每位用户自行安装一遍证书来补救。
处理办法是下载颁发机构提供的正确中间证书链，按部署平台的要求配置。Nginx常用的证书文件应包含网站证书及所需中间证书，顺序通常从网站证书开始，再向上连接；使用面板时，则核对“证书”和“证书链”字段。根证书一般不需要加入服务端发送的链中。
不要看到文件名写着“完整链”就直接使用。确认它对应本次签发的证书，避免把不同颁发链的文件混在一起。完成后重新加载服务，用手机蜂窝网络和另一台电脑复测。
如果链已经齐全，只有一台旧设备报不受信任，再检查该设备的系统更新和根证书状态。对受企业管理的终端，交由管理员更新信任环境，不从陌生网站下载根证书，也不要求用户关掉证书验证。
链没缺，还要确认收到的不是另一张证书
证书链完整，却仍报不受信任，查看颁发者。如果线上误装了测试环境的自签证书，即使域名与日期都正确，普通用户设备也不会自动信任它。把浏览器信任的正式SSL证书绑定到公网入口，重新连接后再检查。
还有一种表现是家里访问正常，连上公司网络后报错。比较两边收到的证书颁发者和序列号，若明显不同，再请网络管理员检查是否有HTTPS代理或安全网关参与连接。企业设备需要由管理员统一配置相关信任；外部访客不应被要求随意安装企业内部根证书。
不要把这类差异直接当成网站证书失效，也不要一看到不同颁发者就认定网站被攻击。先找到实际替换证书的环节。网站端已经部署正确时，重复申请同一域名的证书不会修好客户端代理配置。
页面能打开却仍有异常，看看是不是混合内容
网页通过HTTPS打开，却请求HTTP图片、脚本、样式或接口，这叫混合内容。浏览器会按照资源类型升级请求、拦截请求或给出相应提示，因此它可能表现为图片不显示、登录按钮没反应，也可能影响页面的安全状态。
打开浏览器开发者工具，查看Console控制台，查找“Mixed Content”等错误信息。报错通常会列出具体资源地址，顺着地址就能找到要改的模板、前端配置或第三方资源引用。
修复时，把资源切换到真正可用的HTTPS地址。不是所有资源都能只把开头几个字符改掉：第三方服务器本身必须提供有效HTTPS，接口还要保持原有请求路径和功能。没有安全入口的资源，应迁移、替换或移除。
修改后刷新页面，实际点击登录、提交表单、加载图片等功能，再检查控制台是否仍报错。特别是登录后的页面和管理后台，也要一起检查，不能只看首页正常就结束。
如果页面请求都已使用HTTPS，但接口返回跨域错误，要继续处理接口的跨域配置。跨域拦截不是证书价格或验证等级问题，不要因为都出现在控制台里，就把它们混为一谈。
面板里的证书是新的，公网为什么还在用旧的
先画清访问路径：用户可能先到CDN，再到负载均衡，最后才是网站服务器。哪一层与浏览器建立TLS连接，哪一层就必须装对证书。源站更新完成，不会自动替CDN更新边缘证书。
在浏览器查看证书序列号，再与准备部署的新证书比较。如果不同，沿CDN和负载均衡检查绑定；如果网站直连服务器，则检查运行配置指向的文件路径，以及服务是否真正重新加载。仅在硬盘上覆盖文件，不保证正在运行的进程已经采用新内容。
如果HTTPS连接分别在多台后端服务器上结束，每个节点都要换好证书。流量分配到漏换的节点，就会出现时好时坏的情况。IPv4与IPv6也可能通往不同入口，两条线路都要检查。
完成修复后，重新建立连接，从不同网络验证实际呈现的证书。CDN平台还应确认部署状态覆盖全部启用区域。问题出在某个节点时，清理网页缓存不能替代该节点的证书更新。
只有一台设备报日期错误，先校准时间
证书明明未过期，设备时间却设到了未来，浏览器照样会判定超期；时间落在证书生效之前，也会出现日期错误。先检查设备日期、时区和自动校时设置，再重新访问。
如果很多设备同时报日期错误，则回到公网证书查看器，核对收到的证书，而不是只盯着采购记录。有时真正到期的是入口旧证书，有时是验证链上的证书，需要按报错位置处理。
日期错误解决后仍显示“危险网站”“欺诈网站”之类提示，就要另查网站安全状态。这类名单告警与证书过期不是同一机制。检查网站是否被植入恶意代码、跳转或钓鱼内容，清理后向对应安全服务提交复核。
有效SSL证书证明的不是“网站绝对没有危险”。购买更高等级的证书不能清除恶意内容，也不能代替网站修复和信誉申诉。
需要重新选证书时，按网站范围和身份要求选
如果原证书有效、域名也覆盖完整，优先修复配置，不需要为了报错升级购买。确实需要新增证书时，安信SSL证书旗下的国产品牌速安信提供以下三款选择。
只有一个明确域名，主要需要建立HTTPS连接，可以选择速安信DV SSL证书单域名，158元/年。选购时写清实际访问的主机名，不把“一个网站”直接当成“只有一个域名”，尤其要检查官网与接口是否使用不同地址。
企业官网希望证书包含经过核验的组织身份，推荐速安信OVSSL证书单域名，1280元/年。它增加企业身份验证，适合对外业务介绍、客户登录等企业网站。相同TLS配置下，它不是靠更高价格把链缺失或域名错误自动修好。
同一主域名下有商城、后台、接口等多个同层子域名，推荐速安信通配符OVSSL证书，3980元/年。它便于统一处理同一范围的子域名证书。主域名是否包含，要检查证书的独立SAN记录；更深层子域名仍需另外规划。
向我们提交需求时，提供要保护的域名清单、使用的CDN或服务器类型，以及完整报错内容，就能同时判断需要换产品还是只改部署。把钱花在缺少的覆盖范围和身份验证上，比围着一个错误提示反复买证书更直接。
SSL证书未过期却提示不安全常见问题
1、SSL证书没过期，重新续费能消除提示吗？
不能直接解决域名不匹配、链缺失或混合内容。先查错误代码及公网实际使用的证书，按原因修改配置。只有缺少可用证书或覆盖范围不足时，才需要重新申请。
2、为什么手机报证书错误，电脑却正常？
先查服务器有没有发送完整的中间证书链，再比较设备时间、系统版本和访问网络。电脑缓存过中间证书、两台设备访问不同节点，都能造成结果不同。
3、页面换成HTTPS后图片不显示怎么办？
打开控制台查混合内容报错，找到被拦截的资源，替换为可正常访问的HTTPS地址。修改后实际打开相关页面，确认资源服务器本身的证书与访问权限也正常。
4、装了通配符证书，为什么主域名还报错？
通配符条目本身不匹配主域名。查看SAN中是否另外列出主域名；没有，就需要增加该域名的覆盖，不能认为星号自动包含所有地址。
5、网站被标记为欺诈页面，要不要换更贵的证书？
不需要靠升级证书处理。先排查恶意页面、脚本和异常跳转，修复后向发出告警的安全服务申请复核。HTTPS连接验证与网站内容安全是两项不同检查。
相关阅读：SSL证书未过期网站却不安全
