网站装了安全证书还提示不安全：混合内容怎么查

提示不安全先分清证书还是页面内容

网站装了安全证书仍提示不安全，常见原因是页面里仍有未加密的资源地址，而非证书本身没生效；适用于证书在有效期内、域名与证书匹配的企业站，证书过期或域名不符要先另查。

两类问题的表现不一样。证书没装好，浏览器会在打开页面之前就拦下来；页面能打开、地址栏却显示不带锁或带警告，多半是页面内容里混进了旧地址。

洛阳本地不少老站改版时只把首页地址换成加密的，图片、样式表和脚本仍沿用建站时写死的旧地址，浏览器一发现这类资源就会给出提示。

这个判断只覆盖页面自身的资源。表单提交到第三方接口、统计代码引用外部服务，属于另一类来源，排查时要单独列出来看。

先在一个浏览器里打开首页，记下提示出现在打开前还是打开后，再决定往哪边查。

页面里容易残留旧地址的通常是图片、样式表与脚本三类，另外还有字体和插入的视频框架；适用于由模板或内容管理系统生成的页面，纯手写单页要按页面逐个数。

这三类都由页面主动加载。浏览器把整页当成加密连接来对待，只要其中一个资源仍走明文地址，整页的保护就算不完整，提示随即出现。

常见的情形是早年发文章时把图片地址连同域名一起存进了正文，后来站点换了加密配置，旧文章里的地址没跟着改，首页看着正常，点进老文章就提示。

按资源类型清点只解决站内写死的地址。内容里嵌了外部图床、外部统计或者在线客服组件，地址不在本站库里，得联系对方确认是否支持加密引用。

把首页、栏目页和几篇老文章各打开一遍，分别记下提示出现的位置，能大致看出是哪一类资源。

定位具体地址可以用浏览器自带的开发者工具，看控制台提示和网络列表里的请求地址，一般几分钟能挑出来源；适用于能正常打开页面的情形，整页被拦截时先看证书配置。

开发者工具会把被拦下的资源逐条列出来，并标明是哪一行代码发起的请求。顺着条目回到页面模板或文章正文，改动位置就清楚了，比逐个文件翻快得多。

常见的做法是先按资源类型筛一遍，只留图片与脚本，再把提示里出现的旧域名记下来，到后台按这个域名搜索正文和模板。

这一步假定页面能在本地复现。访客那边提示、自己这边不提示，可能是缓存了旧版本，或者只对特定地区、特定设备加载了某个组件。

把挑出来的旧地址连着所在页面一起抄成清单，改的时候按行销号。

替换旧地址时容易漏的是正文里写死的图片地址、模板底部的脚本，以及数据库里存的旧域名配置三处；适用于站点有统一后台的情形，多个子系统拼起来的站要分头核。

三处分散在不同层。正文归内容，模板归文件，站点域名归配置，只改其中一处，页面仍会从另外两处拉到旧地址，提示不会消失。

按常见做法，先改配置里的站点地址，再批量替换正文里的图片域名，末了打开模板文件检查有没有硬写的外部脚本。顺序反过来，批量替换容易把配置文件也改坏。

批量替换有边界。带参数、带引号或已经被转码存起来的旧地址，简单替换匹配不到，需要单独挑出来手工处理。

替换前先导出一份数据库和模板的备份，改完发现页面错版可以直接退回来。

改完后的复查建议按清缓存、开新窗口、逐页点、隔天再看四步走，覆盖首页、栏目页与近两年内的老文章；适用于内容量在几百篇以内的企业站，上千篇的站要按栏目抽样。

清缓存是为了别拿旧版本当结果。浏览器和站点缓存都可能还留着改前的页面，不改完就复查，容易把没生效误判成改错了。

常见的顺序是先用无痕窗口打开首页看地址栏，再点进几个栏目和老文章，末了看控制台还有没有残留提示。隔天再看一次，能发现定时生成或缓存刷新后才冒出来的旧地址。

抽样复查不能覆盖所有页面。带搜索结果页、会员页这类动态页面的站，需要另外构造几条典型地址单独测。

把复查通过的页面类型记在一页交接单上，后面发新文章时照着检查图片地址。

页面仍提示不安全时，若涉及第三方接口、外部统计或旧版服务器配置，单靠替换站内地址通常不够；适用于站内资源已全部核完仍有问题，或提示只在特定页面出现的情况。

第三方组件的地址写在对方那一边。本站改不了，只能换成支持加密引用的版本，或者暂时去掉该组件；硬把地址改成加密前缀，对方不支持反而会加载失败。

常见的还有服务器层面：旧版配置里同时开着两套访问入口，或者重定向把加密请求又转回明文，这类问题改正文没有作用，要回到服务器配置看。

这类排查已经超出内容维护的范围。本站的代维护服务含基础项巡检，报价是 400 元每年，涉及服务器配置调整的项目按二次开发另行核价，功能定制 3000 元起。

遇到这类情形，先把出现提示的页面和控制台提示截图存好，交给处理配置的人，比口头描述省一轮来回。