SSL 证书即将到期：在客户看到警告之前该怎么办

网址旁边的小锁，说明你的网站有 SSL 证书。客户在联系表单或购物车里输入的所有内容，在传到服务器的途中都靠它加密。大多数网站所有者从不关心它，因为多年来它一直在那里正常工作。

直到有一天它不工作了。证书和护照一样有到期日。过了这个日期，浏览器就不再显示你的网站，而是显示一整页警告。通常是客户比你先发现。

检查证书大约需要两分钟。下面介绍怎么检查，证书到期时会发生什么，以及该向主机商问什么，让这一天永远不会到来。

如何自己检查证书

用 Chrome 打开你的网站，点击地址栏左侧的图标。在较新的版本里它不再是小锁，而是一个带两个滑块的小图标。选择“连接是安全的”，再选择“证书有效”。

在打开的窗口里，找这三项：

• 证书颁发给谁，应该是你的域名，
• 由谁颁发，例如 Let's Encrypt、Sectigo 或 DigiCert，
• 有效期，包括到期日期。

免费的 SSL 证书检查（英文）能显示同样的内容，还会显示证书链是否完整，以及 http 是否跳转到 https。

如果还有几周，暂时不用担心。自动续期的证书通常在到期前一个月左右更换。如果只剩几天，证书却还是旧的，说明续期环节出了问题，需要马上上报。

证书到期时会发生什么

你的网站不会从互联网上消失，但几乎没人能打开它。Chrome 会显示一个页面，写着“您的连接不是私密连接”，错误代码为 NET::ERR_CERT_DATE_INVALID。Firefox 和 Safari 有各自版本的同样警告。

从技术上说，访客可以点开高级详情继续访问。但只是想预约或查看营业时间的人不会这么做。他会关掉标签页，回到搜索结果，你的竞争对手就在一次点击之外。

还有一些不太明显的影响。自动连接你网站的服务，例如确认订单已付款的支付服务商，可能开始报错。谷歌或 Facebook 上的广告照常消耗你的预算，只是现在把人直接送到了警告页面。

修复本身通常只要几分钟。主机商或开发者签发一张新证书，网站就恢复正常。问题在于得先有人发现，如果证书在周五晚上到期，可能就要等到周一早上。

自动续期，以及它为什么有时会失败

现在大多数主机商都签发 Let's Encrypt 或类似机构的免费证书，并自动续期。Let's Encrypt 证书有效期 90 天，没有自动化的话没人跟得上。付费证书的有效期也在缩短。自 2026 年 3 月起，任何公开受信任的证书有效期都不能超过 200 天，这一上限预计到 2029 年降至 47 天。每年手动续期一次的做法正在消失。

只要什么都不变，自动化运行得很好。它停止工作最常见的原因：

• 域名迁到了另一台服务器，或放到了代理服务后面，而旧的主机商仍在尝试续期一张它已无法验证的证书，
• 有人添加了跳转规则或防火墙规则，同时也拦住了用来证明你拥有该域名的地址，
• 证书曾经从另一家公司手动购买，却没人设置提醒，
• 付费续期失败了，因为账户上绑定的银行卡已过期。

还有一个很少有人知道的变化。2025 年 Let's Encrypt 停止发送到期提醒邮件。如果公司里有人一直指望“收到邮件再处理”，这封邮件不会再来了。

一个网站有四个地址

实际上你的网站有四个地址：

• http://yourdomain.com
• http://www.yourdomain.com
• https://yourdomain.com
• https://www.yourdomain.com

把每一个都手动输入地址栏。四个最终都应该落到同一个 https 地址上。如果其中任何一个停留在普通 http，那个版本网站上的表单会以不加密的方式发送数据。

也会出现不带 www 的版本正常、带 www 的版本显示警告的情况。这说明证书只覆盖了两个名称中的一个。这时 Chrome 会报 NET::ERR_CERT_COMMON_NAME_INVALID。

这一点很容易漏掉，因为你总是用同一种方式输入网址。而旧名片、邮件签名或某个目录网站上的链接，可能恰好指向另一个版本。

混合内容警告

有时证书完全有效，浏览器却仍然不显示干净的小锁。在 Chrome 里你会看到一条提示，说你与该网站的连接并不完全安全。有时几张图片干脆加载不出来。

这叫混合内容。页面通过 https 加载，但页面里的某些文件仍以旧的 http 请求。这通常是多年前切换证书时留下的：旧文章里的图片地址、访客计数脚本、字体或合作方的横幅仍然指向 http://。浏览器会拦截这些内容或尝试替换，页面因此看起来有点坏，访客看到的提示也让人不放心。

修复要交给开发者。他们需要找出所有以 http:// 开头的链接，把它们改成 https://，内容和主题里都要改。在 WordPress 上，这通常是对数据库做一次操作，最好先备份。

该向主机商问什么

给主机商，或者维护网站的人发一封邮件就够了：

1. 我们域名上的证书是否自动续期，由谁签发？
2. 它是否同时覆盖带 www 和不带 www 的版本？
3. 地址的四个版本是否都跳转到同一个 https 地址？
4. 续期失败时谁会收到通知，他们会多快处理？
5. 网站上有没有混合内容？

你自己还可以再做一件小事。在日历里，把提醒设在你刚刚读到的到期日期前两周。如果到那天证书信息里已经是一个新的、更晚的日期，说明自动化在正常工作。如果不是，你还有两周的时间去解决，而不是在周五晚上遇到停服。