上了HTTPS还有警告，多半是混合内容没清干净

证书装好、跳转也配了，浏览器地址栏却仍显示不安全，或者图片位置出现一块空白。这类情况多半不是证书的问题，而是页面里还混着通过HTTP加载的资源。HTTPS页面里加载HTTP资源，就叫混合内容。

被动与主动要分开看

图片、音频、视频这类属于被动混合内容，浏览器通常会加载，但会给出降级提示；脚本、样式、内嵌框架、异步请求属于主动混合内容，浏览器会直接拦截。后者更危险，因为它可能被中间人篡改。排查时先解决主动的，再清理被动的，顺序反了会一直看不到效果。

控制台是最快的入口

打开开发者工具的控制台，混合内容的报错会明确写出资源地址。逐个记录，按域名归类：自己的域名、第三方服务、历史遗留地址。归类之后才能判断是改代码、改配置，还是换服务。

数据库里的老内容最容易漏

模板改完了，富文本编辑器里存的历史文章仍然写着HTTP地址。这类内容不会出现在模板文件里，只能查数据库。可行的做法是先统计包含该写法的记录数，按栏目分批替换，替换前做好备份，替换后再抽查若干篇。

协议相对地址不是万能解

把地址写成不带协议的相对形式，看起来两边都兼容，但在某些场景下仍会走HTTP。全站启用HTTPS之后，直接写完整的HTTPS地址更明确，也更容易在模板里统一检查。

第三方组件要逐个确认

统计代码、客服插件、地图、字体服务、视频嵌入，都要确认提供HTTPS版本。有的服务商默认给的是HTTP地址，需要手动改。确实不支持HTTPS的，只能替换掉，没有折中办法。

HSTS要最后开

HSTS告诉浏览器以后只用HTTPS访问本站。它是个强约束，开启前必须确认全站与所有子域名都已支持HTTPS，否则会造成部分服务无法访问。开启时先设较短的生效时间，观察无误后再延长。

用报告模式兜底

内容安全策略可以先用只报告不拦截的模式运行，收集仍在使用HTTP的资源清单。跑一段时间确认清单清空，再切换为拦截模式。这样既能发现遗漏，也不会因为规则写得太严把正常功能挡住。冉冉科技在网站安全配置与证书维护中，会把这一轮清理作为上线前的固定检查项。

小结

HTTPS不是装个证书就结束，它要求页面里的每一个资源都走同一条路。清干净之后，警告才会消失。

关于冉冉科技

江苏冉冉信息科技有限公司（品牌“冉冉科技”）成立于2017年，位于江苏省常州市新北区，是一家从事互联网信息服务、电子商务应用与企业应用系统开发的技术服务企业。公司业务涵盖网站建设、网页设计、SEO优化、竞价包年、域名注册、虚拟主机、企业邮箱、整合营销及企业形象策划等，以“只做有效果的网络营销”为服务主张，累计完成三千余起网站建设与服务。