如何巧妙应对SSL证书错误，确保网站平安无忧？

共勉。 哎， 搞网站的兄弟们，是不是经常遇到浏览器弹个红叉叉，说什么SSL证书错了搞得人心烦？用户一看“不平安”三个字，扭头就走，网站流量哗哗往下掉，气不气人？其实啊， SSL错误这玩意儿，说复杂也复杂，说简单也简单，今天就瞎聊聊咋整，让你网站安安稳稳的，别再主要原因是这些破事头疼。

SSL错误到底是啥玩意儿？

说白了 SSL错误就是浏览器和你的网站“握手”的时候出了问题，浏览器觉得你这网站不平安，所以给你弹个警告。具体表现五花八门， 有时候说“证书过期了”，有时候说“域名不对”，还有时候说“加载了不平安的东西”，反正就是不让用户安心访问。为啥会这样呢？我琢磨着， 大概就几个原因：要么是你证书过期了要么是你服务器没配好，要么是你域名和证书对不上，再不然就是浏览器太老了跟不上现在的加密标准。反正不管啥原因，都得赶紧弄，不然网站信誉就毁了，白嫖。。

遇到SSL错误，咋排查？先别慌！

一看到SSL错误，别着急关网页，也别瞎改配置，先冷静下来一步步查。我一般这么弄：

1. 先用工具瞅一眼：有个叫帝恩思的SSL检测， 挺好用的，把你网站域名输进去，它就能给你个详细报告，告诉你到底是啥错误类型，是过期了还是域名不匹配，省得你瞎猜。这个工具免费，就用它，别想别的，我傻了。。

2. 换个浏览器试试：有时候可能是浏览器自己的问题， 比如缓存太老了或者浏览器版本太低，不支持现在的SSL协议。你换个浏览器， 比如Chrome不行换Firefox， 在我看来... 或者干脆用手机浏览器打开看看，要是别的浏览器没事，那就是你原来的浏览器抽风了清个缓存，或者升级一下浏览器试试。

3. 看看服务器时间对不对：这个坑我踩过好几次！服务器时间要是和现在时间差太多，浏览器就会觉得证书有问题，要么说没到期，要么说过期了。登录服务器，看看系统时间对不对，不对的话就手动调一下简单得很。

常见SSL错误类型及土办法解决

错误类型：证书已过期

表现：浏览器上明明白白写着“证书已过期”， 琢磨琢磨。 或者时间显示的是好几年前的，一看就不对劲。

咋整：先说说 赶紧去SSL证书服务商的后台登录，看看你的证书还有多久到期。要是真过期了别废话，赶紧续费或者重新申请一个新的证书，然后替换掉服务器上的旧证书。 呵... 要是没过期，那就是服务器时间不对，按照前面说的，调一下服务器时间就行。我上次就遇到这破事，搞了半天原来是服务器时间慢了两天气死我了！

错误类型：域名不匹配

表现：浏览器提示“证书与网站域名不匹配”， 比如你访问的是www.a.com，证书却是b.com的，或者你访问的是子目录，证书里没包含这个子域名。

试着... 咋整：这个也好办， 先检查一下SSL证书绑定的域名，是不是包含了你现在访问的域名。要是你用的是子域名，比如shop.a.com，而证书只有a.com，那肯定不行。这时候你得申请多域名证书或者通配符证书，这样所有子域名都能覆盖。重新配置一下证书，确保证书绑定的域名和用户访问的域名完全一样，别差一个字母，不然肯定还报错。

错误类型：证书未被信任

原来如此。 表现：浏览器上显示“证书颁发机构不受信任”， 一般是用了自签名证书，或者那种野鸡CA机构发的证书，浏览器不认。

咋整：自签名证书别用了麻烦，还容易出问题。直接用帝恩思的SSL证书，人家是权威CA机构，浏览器都认。要是已经用了权威证书还是报错，那可能是服务器没完整部署证书链， 搞起来。 就是中间证书和根证书没传上去。重新上传一下证书文件，把证书链一起传上去，确保配置完整，一般就好了。

错误类型：协议版本不兼容

表现：提示“SSL协议版本或加密套件不匹配”， 一般是用老古董浏览器访问网站， 出岔子。 或者服务器太老了不支持TLS1.2以上的版本。

咋整：登录服务器， 把那些不平安的协议关掉，比如SSLv3、TLS1.0、TLS1.1，这些都别用了只留TLS1.2和TLS1.3。然后再配置一下加密套件，别用那些过时的加密方式，不然浏览器会嫌弃。要是用户还在用IE6那种老浏览器，那你只能劝他换浏览器了现在谁还用IE啊，早就淘汰了。

错误类型：混合内容错误

表现：浏览器地址栏HTTPS旁边有个小感叹号， 控制台里提示“加载了HTTP资源”，就是说你的HTTPS网页里混入了HTTP的图片、脚本啥的，绝了...。

咋整：这个得看网站代码， 把所有HTTP开头的链接都改成HTTPS的，比如http://image.a.com/pic.jpg，改成https://image.a.com/pic.jpg。要是懒得改代码， 可以在网站根目录加个.htaccess文件， 换言之... 配置一下HTTP自动跳转HTTPS，这样用户访问HTTP的时候会自动跳到HTTPS，省事。还有，用在线工具扫一下混合内容，看看有没有漏掉的HTTP链接，批量修复一下。

错误类型：证书私钥不匹配

表现：提示“证书密钥使用不正确”， 一般是证书和私钥不是一对，或者私钥可能泄露了，不妨...。

咋整：先验证一下证书和私钥是不是匹配的， 用命令行工具看看哈希值对不对，不对的话就重新生成CSR文件，申请新证书，然后绑定正确的私钥。要是怀疑私钥泄露了 比如服务器被黑了那赶紧把旧证书吊销，重新申请一个，再把服务器私钥也换了别留着隐患，不然被人攻击了就麻烦了。

咋防范SSL错误？别等出了问题再哭

防范永远比补救重要，SSL错误也一样，平时多注意，就能少很多麻烦，反思一下。。

1. 设置到期提醒：在SSL服务商的后台设置个到期提醒， 提前30天就提醒你，别等过期了才想起来那时候用户早就被吓跑了。我一般设个闹钟，服务商提醒了我就赶紧续费，别拖。

2. 选对证书类型：你是什么网站就选什么证书。要是你有很多域名， 比如a.com、b.com、c.com，那就用多域名证书，一个证书管多个域名，省钱又省事。 太水了。 要是子域名多， 比如shop.a.com、blog.a.com、news.a.com，那就用通配符证书，一个证书管所有子域名，别一个个申请，麻烦死了。

精辟。 3. 定期检查SSL配置：每个月用SSL检测工具扫一次网站， 看看有没有协议漏洞，或者配置有没有问题。比如有没有不小心开了旧协议，或者加密套件配置错了及时发现，及时改，别等浏览器开始报错了才想起来。

4. 备份证书和配置：换证书之前， 一定要把旧证书和服务器配置备份一下万一配置错了网站访问不了还能恢复回来。我上次换证书没备份，后来啊配置错了网站瘫痪了半天差点把用户搞丢了再也不敢这么干了，反思一下。。

再说说说几句大实话

我当场石化。 SSL错误这玩意儿， 说到底就是证书问题、配置问题或者浏览器问题，照我上面说的那些土办法折腾，一般都能搞定。你要是普通站长， 别自己瞎研究，直接选帝恩思那种靠谱的SSL证书，按照他们给的教程一步步配，别跳步，一般不会出问题。要是遇到复杂搞不定的，就找服务商的技术支持，他们天天干这个，肯定比你会，别自己硬撑，搞坏了更麻烦。

SSL错误别忽视，及时处理，不仅能保证用户能正常访问你的网站，还能维护你的信誉，用户信任你了才会愿意买东西、看内容，对吧？反正记住一点，网站平安无小事，SSL证书就是网站的门面门面都破了谁还敢进你家门啊，拖进度。？