# 不安全（Not secure）：Chrome 地址栏提示的原因和去掉方法

> Chrome 在网页走明文 HTTP、或者有人跳过了证书警告时，会在地址栏显示“不安全”。怎么判断是哪种情况，站长怎么去掉这个提示。

Source: https://ssl.sh/zh/errors/chrome-not-secure-warning/
Last updated: 2026-11-10

**Chrome 地址栏里的“不安全”，意思是这个网页没有使用私密连接。** 多数情况是网页通过明文 `http://` 加载，传输内容没有加密。地址是 `https://` 而“不安全”是红色的，说明连接不受信任，通常是有人点了证书警告页上的“继续前往”。访客只能避免在这种页面输入敏感信息，修复要由站长启用 HTTPS。

## 几种图标分别是什么意思

Chrome 帮助中心把地址左边的状态分成三类，只有默认的“调节”图标表示连接正常：

| 显示 | 含义 |
|---|---|
| 默认（“调节”图标） | 私密连接，你和网站之间收发的信息是私密的 |
| 信息图标或灰色“不安全” | 网站没有使用私密连接（明文 HTTP） |
| 红色“不安全”或“危险” | 连接不是私密的，需要谨慎；“危险”是 Google 安全浏览拦截的恶意网站 |

Chrome 117（2023 年 9 月）起，安全网页不再显示小锁，换成了中性的“调节”图标。所以现在“没有任何警告”才是正常状态，不要再去找小锁。

国内的 360 安全浏览器、QQ 浏览器等是双核浏览器：360 官方说明写明，常用网站用 Webkit/Chromium 内核（极速模式）渲染，部分网银、政府、办公系统用 IE 内核（兼容模式）。极速模式下的安全提示通常和 Chrome 同源，但图标和文字由各家自己设计，可能不完全一样；兼容模式则走 Windows 自带的证书和 TLS 处理。

## 这个提示是怎么一步步变严格的

从 2018 年 7 月的 Chrome 68 起，Chrome 对 HTTP 页面的提示逐版收紧，2026 年 10 月的 Chrome 154 起访问 HTTP 公共网站前要先征求同意。

- **Chrome 68，2018 年 7 月**：所有 HTTP 页面显示“不安全”。
- **Chrome 70，2018 年 10 月**：用户在 HTTP 页面的表单里输入内容时，提示变成红色。
- **Chrome 80 起**：HTTPS 页面里的 HTTP 音视频、后来还有图片，会被自动升级到 HTTPS，升级失败就拦截，而不只是降级地址栏图标。
- **Chrome 147，2026 年 4 月**：按 Google 的计划，对开启“增强型保护”的用户启用公共网站版的“始终使用安全连接”。
- **Chrome 154，2026 年 10 月**：Google 宣布将对所有用户默认开启这项设置，第一次访问不支持 HTTPS 的公共网站时，Chrome 会先弹出提示征求同意。

## 常见原因（按出现频率排序）

最常见的原因是网站没有 HTTPS，其次是有 HTTPS 却没把 HTTP 跳转过去。

### 1. 网站没有 HTTPS

服务器只监听 80 端口，或者没有证书。确认方法：

```bash
curl -sI https://example.com/ -o /dev/null -w '%{http_code}\n'
```

连不上或者报证书错误，说明 HTTPS 没配好。国内不少企业官网、老系统至今仍是这种情况。

### 2. 有 HTTPS，但 HTTP 没跳转

`https://example.com` 能正常打开，但旧链接、收藏夹、搜索结果或者手动输入的地址落在 `http://` 上。看 HTTP 有没有跳转：

```bash
curl -sI http://example.com/ | grep -iE '^(HTTP|location)'
```

返回 `200` 而不是带 `Location: https://...` 的 `301`/`308`，访客就会一直停留在 HTTP 上。

### 3. 有人跳过了证书警告

地址是 `https://` 却显示红色“不安全”，说明加密连接不受信任，常见于在 [您的连接不是私密连接](https://ssl.sh/zh/errors/your-connection-is-not-private/) 这类警告页上点了“继续前往”之后。证书过期、不受信任或者域名不匹配，用 [SSL 检测](https://ssl.sh/zh/tools/ssl-checker/) 一查便知。

### 4. 内网设备和内部系统

路由器、打印机、NAS、内部 OA 等通过 `http://192.168.x.x` 或内部短域名访问的系统都会显示“不安全”。公共 CA 不给内网 IP 和内部名称签证书，要么改用真实域名并通过 DNS 验证申请证书，要么搭建内部 CA 并让所有设备信任它。

### 5. 混合内容和不安全表单

HTTPS 页面把表单提交到 `http://` 地址会触发警告，页面里的 HTTP 资源会被升级或拦截。新版 Chrome 一般不会因此改变地址栏状态，但页面可能显示不全。用 [混合内容扫描](https://ssl.sh/zh/tools/mixed-content-scanner/) 查一遍，详见 [混合内容警告](https://ssl.sh/zh/errors/mixed-content-warning/)。

## 访客能做什么

访客修不了网站，能做的是降低风险：先试着在地址前手动加上 `https://`，不少网站支持 HTTPS，只是没做跳转；页面显示“不安全”时不要输入密码、卡号、身份证号；平时正常的网站突然显示“不安全”，先看看是不是连了需要网页登录的公共 Wi-Fi，或者杀毒软件在拦截 HTTPS，换手机流量对比一下。

## 站长怎么修

去掉提示只有一条路：配好有效证书、启用 HTTPS，并把所有 HTTP 请求跳转到 HTTPS。

**1. 申请并安装证书。** Nginx 或 Apache 用 Certbot：

```bash
sudo certbot --nginx -d example.com -d www.example.com
```

宝塔面板用户在网站设置的“SSL”里一键申请 Let's Encrypt，步骤见 [宝塔面板配置 SSL](https://ssl.sh/zh/guides/bt-panel-ssl/)；也可以用阿里云、腾讯云提供的免费证书。

**2. 把所有 HTTP 永久跳转到 HTTPS：**

```nginx
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}
```

宝塔里对应“强制 HTTPS”开关。其他服务器的写法见 [HTTP 跳转 HTTPS](https://ssl.sh/zh/guides/redirect-http-to-https/)。如果网站前面还有 CDN，要确认 CDN 的回源协议和源站跳转不会互相打架，否则会出现重定向次数过多。

**3. 把站内链接、canonical 地址改成 `https://`**，修掉页面里所有 `http://` 资源。

**4. HTTPS 稳定后再开 HSTS**，让浏览器以后不再尝试 HTTP，见 [启用 HSTS](https://ssl.sh/zh/guides/enable-hsts/)。

## 怎么确认已经修好

修好之后，HTTP 请求会被 301 跳转到 HTTPS，地址栏不再出现“不安全”。

1. `curl -sI http://example.com/` 返回 `301`，`Location` 是 `https://` 地址。
2. 在新的无痕窗口输入 `example.com`，最终停在 `https://`，地址栏是“调节”图标，没有“不安全”字样。
3. [混合内容扫描](https://ssl.sh/zh/tools/mixed-content-scanner/) 没有发现不安全的资源或表单地址。
4. 开了 HSTS 的，`curl -sI https://example.com/ | grep -i strict-transport-security` 能看到响应头。