网站定制开发，HTTPS 配好了，客户手机浏览器还是提示不安全，通常是哪里没弄对？

开篇结论：网站定制开发交付后浏览器提示「不安全」，通常不是单买一张 SSL 证书就能全部解决。2026 年按项目交付经验，提示至少对应三层：证书层（没装、过期、域名不匹配、证书链不完整）、内容层（页面里还引用 http 图片、脚本、字体或 iframe）、续期层（自动续期没生效、到期没人管）。先定位在哪一层，再决定补证书、改资源还是换续期方式，常见区间比直接加购证书更省返工。

浏览器说的「不安全」，到底在提示什么

浏览器地址栏的「不安全」是结果，不是原因。它表示当前页面没有通过 HTTPS 安全连接，或者页面里有一部分资源仍走 http。HTTPS 依靠 SSL/TLS 证书完成加密和身份校验，证书由受信任的证书颁发机构签发，并在有效期内绑定具体域名。访客看到锁形图标，只说明浏览器认可这条连接的基本身份；页面里混入 http 资源时，锁标可能消失或变成灰色感叹号。

判断时不要只看首页。登录页、表单页、后台入口、支付跳转页，任何一个环节走 http，都可能让浏览器给出警告。2026 年常见做法是：先看地址栏锁形图标，再按 F12 打开开发者工具的 Console 和 Network，筛出 Mixed Content 与 http 链接，把问题落到具体页面和具体资源上。

• 证书层问题：证书未安装、已过期、只绑定了 www 而访客访问裸域、证书链中间证书缺失。
• 内容层问题：页面里的图片、CSS、JS、字体、视频或 iframe 仍使用 http 地址。
• 续期层问题：证书到期前没有自动续期，或续期后没有重新加载到服务器。

证书、混合内容、续期：三层排查顺序与成本对比

把排查拆成三层，是因为这三层的处理人和处理成本不同。证书层一般由运维或建站方处理，内容层往往要回到页面代码和素材链接，续期层则涉及账号归属和提醒机制。先查证书层，能快速排除「完全没加密」；再查内容层，解决「加密了但页面仍报警」；最后查续期层，避免上线几个月后再次出现同样问题。

1. 证书层核对：确认证书已安装、在有效期内、域名匹配、证书链完整。合格标准是地址栏出现锁形图标，点击后证书信息与访问域名一致。
2. 内容层核对：用开发者工具筛选 Mixed Content，逐页检查图片、脚本、样式、字体和 iframe。合格标准是 Console 没有混合内容警告，Network 里没有 http 资源。
3. 续期层核对：确认自动续期是否开启、到期前是否有提醒、续期后是否需要手动重载。合格标准是到期前至少 30 天能收到告警，并有明确责任人。

成本上，证书层排查常见几分钟到十几分钟，处理安装或补链常见几十分钟到几小时；内容层逐页清理常见几十分钟到半天，页面多、外链图片多时可能到一天；续期层如果自动续期没生效，到期当天临时处理，代价可能是一上午的应急加访客短暂无法访问。这些都是经验区间，具体看站点规模和资源数量。免费 DV 证书常见每年 0 到几百元，付费 OV 证书常见每年几百到数千元，以服务商当期规范为准。

适用与不适用边界：哪些站必须上，哪些可以缓一缓

如果网站包含登录、注册、询盘表单、支付、会员中心、后台管理或对外 API，HTTPS 基本应作为上线前的必做项，因为这些页面会传输账号、密码、联系方式或交易信息。到了 2026 年，纯展示型官网也普遍默认上 HTTPS，主要不是为了加密，而是避免浏览器「不安全」提示影响访客第一印象。反过来，完全隔离的内网测试环境、只给内部少数人看的临时演示页，可以暂缓，但仍建议在正式对外前补齐。

边界要写清楚：HTTPS 不能替代服务器安全加固、不能替代登录权限控制，也不能解决页面本身被挂马的问题。它解决的是传输链路加密和基础身份校验。如果网站被入侵、被篡改，装证书并不能让页面恢复干净。

• 适合优先上：有表单、登录、支付、会员、后台或第三方接口对接的站点。
• 建议同步上：纯展示站、品牌官网、活动页，避免浏览器警告影响点击和转化。
• 可以暂缓：完全内部、不对外访问、且不传输敏感信息的临时环境。
• 不能靠证书解决：服务器漏洞、弱口令、页面被挂马、内容被篡改等问题。

交付现场：一次证书到期和几十条 http 资源的返工

在项目里常见一种情况：客户预算压得紧，选了不带自动续期的主机，素材里又保留了大量外链图片。开发阶段测试时一切正常，上线后某天证书到期，浏览器直接拦截，访客以为网站被黑，临时加急续期并回头清理几十处 http 图片链接，多花了半天到一天做返工。这类代价通常不是技术难度造成的，而是续期责任和资源规范没有在交付清单里写清。

减少这类返工，交付时要先核对三件事：证书账号归谁、自动续期是否生效、全站是否还有 http 资源。判断一个站点 HTTPS 做得是否合格，可以看四个口径：地址栏无警告、Console 无混合内容、证书域名与实际访问域名一致、到期前有可执行的提醒机制。

• 只绑 www：访客输入裸域时仍可能报错，常见做法是两条都做解析并覆盖证书。
• 自动续期静默失败：没有告警就没人知道，到期当天才发现。
• CDN 与源站证书不一致：边缘证书正常、回源证书过期，也可能出现间歇性警告。
• 第三方嵌入内容：地图、视频、统计脚本若走 http，同样会触发混合内容警告。

常见问题

网站定制开发，SSL 证书是开发公司买还是自己买？

两者都常见。自己买的好处是账号和续费掌握在自己手里，交付时让开发方完成安装与调试；由开发方代购，则要把证书归属和续期责任写进交付清单。

免费 SSL 证书和付费的，浏览器会区别对待吗？

主流浏览器对证书链有效的站点都会显示锁标，区别主要在验证级别、有效期长度和售后支持；有支付或登录的站点更建议用带续期提醒的方案。

网站上线后提示「不安全」，但证书明明在有效期内，为什么？

多半是页面里还引用了 http 的图片、脚本或字体，形成混合内容；也可能是证书只绑了 www，而访客访问的是不带 www 的域名。

网站只有几个展示页面，不装 HTTPS 行不行？

技术上能打开，但 2026 年浏览器会对 http 页面标注「不安全」，表单提交也会提示风险；展示站装一张基础 DV 证书成本不高，通常建议上。

如果网站有表单、登录或支付，先把证书层和混合内容查清再上线；纯静态展示站也建议至少配一张可自动续期的 DV 证书，并把续期责任写进交付清单。文中价格与周期均为经验区间，具体以服务商规范和实际环境为准。按企业项目交付习惯，我们通常会在上线前核对证书、资源链接和续期提醒三项，再安排验收。