HTTPS未启用或证书过期，导致浏览器提示“连接不安全”

Question

常见问题：网站未配置有效HTTPS证书，或SSL/TLS证书已过期、域名不匹配、由不受信任的CA签发，导致现代浏览器（Chrome、Firefox、Edge等）强制显示“此连接不安全”警告页，甚至阻止用户访问。该问题不仅中断用户访问流程、大幅增加跳出率，更会直接导致SEO排名下降（Google明确将HTTPS作为排名信号）、支付接口调用失败（如Stripe、微信JSAPI拒绝非HTTPS上下文）、以及无法使用Web Push、Geolocation、Service Worker等关键现代Web API。运维中常因证书自动续期脚本失效、Nginx/Apache配置未重载、CDN缓存旧证书、或测试环境误用自签名证书上线而引发。需通过`openssl s_client -connect domain:443 -servername domain`验证证书链与有效期，并确保ACME客户端（如Certbot）与Web服务器配置协同生效。

Answer 1

```html

一、现象层：浏览器警告与用户行为断点

• Chrome 显示“不安全”红色锁图标，点击地址栏提示“您的连接不是私密连接”；
• Firefox 弹出全屏警告页（NET::ERR_CERT_DATE_INVALID / ERR_CERT_COMMON_NAME_INVALID）；
• Edge 在加载阶段直接中断渲染，控制台报 net::ERR_INSECURE_RESPONSE；
• 微信内嵌 WebView 拒绝调起 JSAPI（wx.config invalid signature 或初始化失败）；
• Google Search Console 报告“HTTPS 迁移未完成”，索引覆盖率下降 30%+；
• Service Worker 注册失败：浏览器抛出 SecurityError: Failed to register a ServiceWorker；
• Web Push API 调用被静默拦截，Notification.requestPermission() 返回 denied；
• Stripe.js 初始化失败并抛出 Invalid origin: must be served over HTTPS；
• Geolocation API 触发 PermissionDeniedError（非 HTTPS 下现代浏览器强制禁用高精度定位）；
• CDN 缓存节点仍返回旧证书链（如 Let’s Encrypt DST Root CA X3 已过期但未刷新中间证书）。

二、根因层：证书生命周期与基础设施协同失效

HTTPS 失效本质是信任链断裂，而非单一配置错误。需从四个维度交叉验证：

维度	典型故障点	检测命令示例
证书有效性	过期、未生效、SAN 域名缺失	openssl x509 -in cert.pem -text -noout | grep -E "(Not Before|Not After|DNS:"
证书链完整性	缺失中间证书、根证书不受信（如未包含 ISRG Root X1）、OCSP Stapling 关闭	openssl s_client -connect example.com:443 -servername example.com -showcerts 2>/dev/null | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -print_certs -noout
服务端配置	Nginx 未 reload、SSL 配置未启用 ssl_certificate 和 ssl_certificate_key、HTTP/2 依赖 TLSv1.2+ 但配置了弱协议	nginx -t && nginx -s reload；检查 ssl_protocols TLSv1.2 TLSv1.3;
基础设施缓存	CDN（Cloudflare/AWS CloudFront）缓存旧证书、LB（ALB/NLB）未同步更新、K8s Ingress Controller 证书 Secret 未滚动更新	Cloudflare：检查 SSL/TLS → Edge Certificates → “Always Use HTTPS” + “Minimum TLS Version”；AWS：aws elbv2 describe-ssl-policies

三、诊断层：标准化验证流水线（含自动化脚本）

构建可复用的诊断链，覆盖端到端信任路径：

# 1. 基础连通性与证书握手
openssl s_client -connect example.com:443 -servername example.com -verify_return_error -showcerts 2>&1 | head -n 50

# 2. 提取证书有效期（Unix 时间戳）
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates

# 3. 验证证书链可信度（对比 Mozilla CA Store）
openssl s_client -connect example.com:443 -servername example.com -CAfile /etc/ssl/certs/ca-certificates.crt 2>&1 | grep "Verify return code"

# 4. 检查 OCSP Stapling 状态
openssl s_client -connect example.com:443 -servername example.com -status 2>&1 | grep -A 17 "OCSP response"

四、解决层：生产级 HTTPS 治理框架

面向 5 年以上经验工程师，推荐实施「ACME+GitOps+可观测」三位一体方案：

graph LR
  A[Let's Encrypt ACME Client] -->|Certbot / acme.sh / lego| B[证书签发]
  B --> C{部署策略}
  C --> D[Nginx Reload Hook]
  C --> E[CDN API 自动上传]
  C --> F[K8s Secret 滚动更新]
  D --> G[健康检查：curl -I https://example.com --fail]
  E --> G
  F --> G
  G --> H[Prometheus Exporter]
  H --> I[Alert on expiry < 7d]
  I --> J[Slack/PagerDuty 通知]

五、进阶层：TLS 1.3 优化与零信任演进

• 启用 TLS 1.3 + 0-RTT（需 Nginx ≥ 1.17 / OpenSSL ≥ 1.1.1），降低首屏 TTFB 15–25%；
• 采用 ECDSA 证书（secp384r1）替代 RSA，提升握手性能并减少证书体积；
• 集成 Certificate Transparency 日志监控（如 crt.sh API），实时捕获非法签发；
• 在 CI/CD 流程中嵌入 ssllabs-scan --grade example.com 自动化评分（目标 A+）；
• 对微服务 Mesh（Istio/Linkerd）启用 mTLS，实现南北向 + 东西向统一加密治理；
• 将证书生命周期纳入 SRE Error Budget：证书过期事件计入 P1 故障 SLI；
• 使用 HashiCorp Vault PKI 引擎实现内部 CA 统一管理，支持短生命周期证书（≤24h）；
• 审计所有测试环境：禁止自签名证书出现在 prod 配置模板中（Git 预提交钩子校验 *self-signed*）；
• 对混合云架构，同步配置 AWS ACM 与 Let’s Encrypt，实现跨云证书冗余；
• 建立证书资产台账（CMDB 字段：域名、SAN 列表、签发时间、到期时间、CA、部署位置、负责人），对接 ITSM。

```