显示“不安全”是不是说明网站是诈骗网站或者有病毒？

不是。它只说明连接没有加密（或者不是私密连接），你发出和收到的内容在路上可能被看到或篡改。钓鱼、恶意软件网站是另一种整页红色警告，来自 Google 安全浏览，Chrome 把它标为“危险”。

不登录、只是看看，访问“不安全”的网站有风险吗？

只读公开信息风险不大，但网络中间人仍然可以篡改页面内容，比如插入广告或恶意链接。在显示“不安全”的页面上不要输入密码、银行卡号或身份证号。

路由器、NAS 的管理页面也显示“不安全”，正常吗？

正常。这些设备一般通过内网 IP 用 HTTP 访问，而公共 CA 不会给内网 IP 签发证书。Google 的“默认 HTTPS”计划针对的是公共网站，不是内网地址。

证书已经装好了，为什么还显示“不安全”？

最常见的是 HTTP 版本还能访问、没有跳转到 HTTPS，或者你点开的是以前收藏的 http:// 链接。看一下地址栏：如果已经是 https:// 还显示红色，就用 SSL 检测查证书本身的问题。

不安全（Not secure）：Chrome 地址栏提示的原因和去掉方法

Chrome 地址栏里的“不安全”，意思是这个网页没有使用私密连接。 多数情况是网页通过明文 http:// 加载，传输内容没有加密。地址是 https:// 而“不安全”是红色的，说明连接不受信任，通常是有人点了证书警告页上的“继续前往”。访客只能避免在这种页面输入敏感信息，修复要由站长启用 HTTPS。

几种图标分别是什么意思

Chrome 帮助中心把地址左边的状态分成三类，只有默认的“调节”图标表示连接正常：

显示	含义
默认（“调节”图标）	私密连接，你和网站之间收发的信息是私密的
信息图标或灰色“不安全”	网站没有使用私密连接（明文 HTTP）
红色“不安全”或“危险”	连接不是私密的，需要谨慎；“危险”是 Google 安全浏览拦截的恶意网站

Chrome 117（2023 年 9 月）起，安全网页不再显示小锁，换成了中性的“调节”图标。所以现在“没有任何警告”才是正常状态，不要再去找小锁。

国内的 360 安全浏览器、QQ 浏览器等是双核浏览器：360 官方说明写明，常用网站用 Webkit/Chromium 内核（极速模式）渲染，部分网银、政府、办公系统用 IE 内核（兼容模式）。极速模式下的安全提示通常和 Chrome 同源，但图标和文字由各家自己设计，可能不完全一样；兼容模式则走 Windows 自带的证书和 TLS 处理。

这个提示是怎么一步步变严格的

从 2018 年 7 月的 Chrome 68 起，Chrome 对 HTTP 页面的提示逐版收紧，2026 年 10 月的 Chrome 154 起访问 HTTP 公共网站前要先征求同意。

Chrome 68，2018 年 7 月：所有 HTTP 页面显示“不安全”。
Chrome 70，2018 年 10 月：用户在 HTTP 页面的表单里输入内容时，提示变成红色。
Chrome 80 起：HTTPS 页面里的 HTTP 音视频、后来还有图片，会被自动升级到 HTTPS，升级失败就拦截，而不只是降级地址栏图标。
Chrome 147，2026 年 4 月：按 Google 的计划，对开启“增强型保护”的用户启用公共网站版的“始终使用安全连接”。
Chrome 154，2026 年 10 月：Google 宣布将对所有用户默认开启这项设置，第一次访问不支持 HTTPS 的公共网站时，Chrome 会先弹出提示征求同意。

常见原因（按出现频率排序）

最常见的原因是网站没有 HTTPS，其次是有 HTTPS 却没把 HTTP 跳转过去。

1. 网站没有 HTTPS

服务器只监听 80 端口，或者没有证书。确认方法：

curl -sI https://example.com/ -o /dev/null -w '%{http_code}\n'

连不上或者报证书错误，说明 HTTPS 没配好。国内不少企业官网、老系统至今仍是这种情况。

2. 有 HTTPS，但 HTTP 没跳转

https://example.com 能正常打开，但旧链接、收藏夹、搜索结果或者手动输入的地址落在 http:// 上。看 HTTP 有没有跳转：

curl -sI http://example.com/ | grep -iE '^(HTTP|location)'

返回 200 而不是带 Location: https://... 的 301/308，访客就会一直停留在 HTTP 上。

3. 有人跳过了证书警告

地址是 https:// 却显示红色“不安全”，说明加密连接不受信任，常见于在您的连接不是私密连接这类警告页上点了“继续前往”之后。证书过期、不受信任或者域名不匹配，用 SSL 检测一查便知。

4. 内网设备和内部系统

路由器、打印机、NAS、内部 OA 等通过 http://192.168.x.x 或内部短域名访问的系统都会显示“不安全”。公共 CA 不给内网 IP 和内部名称签证书，要么改用真实域名并通过 DNS 验证申请证书，要么搭建内部 CA 并让所有设备信任它。

5. 混合内容和不安全表单

HTTPS 页面把表单提交到 http:// 地址会触发警告，页面里的 HTTP 资源会被升级或拦截。新版 Chrome 一般不会因此改变地址栏状态，但页面可能显示不全。用混合内容扫描查一遍，详见混合内容警告。

访客能做什么

访客修不了网站，能做的是降低风险：先试着在地址前手动加上 https://，不少网站支持 HTTPS，只是没做跳转；页面显示“不安全”时不要输入密码、卡号、身份证号；平时正常的网站突然显示“不安全”，先看看是不是连了需要网页登录的公共 Wi-Fi，或者杀毒软件在拦截 HTTPS，换手机流量对比一下。

站长怎么修

去掉提示只有一条路：配好有效证书、启用 HTTPS，并把所有 HTTP 请求跳转到 HTTPS。

1. 申请并安装证书。 Nginx 或 Apache 用 Certbot：

sudo certbot --nginx -d example.com -d www.example.com

宝塔面板用户在网站设置的“SSL”里一键申请 Let's Encrypt，步骤见宝塔面板配置 SSL；也可以用阿里云、腾讯云提供的免费证书。

2. 把所有 HTTP 永久跳转到 HTTPS：

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

宝塔里对应“强制 HTTPS”开关。其他服务器的写法见 HTTP 跳转 HTTPS。如果网站前面还有 CDN，要确认 CDN 的回源协议和源站跳转不会互相打架，否则会出现重定向次数过多。

3. 把站内链接、canonical 地址改成 https://，修掉页面里所有 http:// 资源。

4. HTTPS 稳定后再开 HSTS，让浏览器以后不再尝试 HTTP，见启用 HSTS。

怎么确认已经修好

修好之后，HTTP 请求会被 301 跳转到 HTTPS，地址栏不再出现“不安全”。

curl -sI http://example.com/ 返回 301，Location 是 https:// 地址。
在新的无痕窗口输入 example.com，最终停在 https://，地址栏是“调节”图标，没有“不安全”字样。
混合内容扫描没有发现不安全的资源或表单地址。
开了 HSTS 的，curl -sI https://example.com/ | grep -i strict-transport-security 能看到响应头。