那个小锁，到底管什么

浏览器地址栏左边那个小锁，很多人以为它代表「这个站是安全的」。

它只代表一件事：你和这个站之间传的东西是加密的。别人在中间截不到你的密码，也改不了页面内容。

它不代表这个站是好人开的。骗人的站也能申请证书，锁照样亮。这两件事经常被混在一起。

锁是怎么来的

网站要向证书机构申请一张证书，证明「这个域名确实归我」。证书里写着三样东西：域名、有效期、签发方。

浏览器打开页面时，先验这三样：域名对不对、有没有过期、签发方是不是它认识的。

三项都对，显示锁。有一项不对，弹警告页，用户得点「继续访问」才能进来。多数人到这里就关掉了。

够。现在有免费证书，三个月一签，到期自动续。

个人站没有任何理由花钱买证书。花钱买的是保险赔付和技术支持，不是「更安全」。加密强度是一样的。

第一种，证书过期。多数是自动续期失败了，去托管商后台点一下重新签发就行。

第二种，域名不匹配。证书签的是带 www 的，你访问的是不带的，或者反过来。把两个都加上就解决。

第三种，证书链不完整。这种情况少见，通常是服务器配置漏了中间证书。自己查不出来就找托管商，或者照着文档补一条。

页面本身是 https，但里面有一张图、一个脚本还是 http。

浏览器会把整个页面标成「不安全」，锁变成三角警告。用户看不到具体原因，只觉得这个站有问题，然后就走。

排查方法很简单：打开开发者工具，切到 Console，它会直接告诉你哪个地址是 http。

解决办法只有一个：把那个地址改成 https，或者换成 https 的资源。没有别的路。

换域名，证书要重新签。

很多人换了域名，页面能打开，但锁没了。原因就是证书还是旧域名的，浏览器一验就不对。

换完域名，第一件事是打开首页看一眼地址栏。

三步，一分钟。

第一，打开首页，看锁在不在。第二，点开锁，看有效期还有多久。第三，随便点进一篇文章，再看一次。

三步都对，说明证书没问题。有一处不对，先查那一处。

锁是底线，不是卖点。

装好之后基本不用管，但要知道它什么时候会掉、掉了怎么补。这两件事知道了，就不会在半夜被一条「你的网站不安全」的截图吓到。

有人以为装了证书，网站就「加密」到别人连内容都看不到。

不是。证书只保护传输过程，服务器上的内容还是明文存着。

真正要防的是「传输中被截」，不是「服务器被看」。前者证书能管，后者要靠别的手段。

搞清楚这一点，你就不会把证书当成万能药。它只解决一段路的安全，剩下的还得自己管。