日常运维中经常遇到类似反馈：网站已经部署了 HTTPS 证书，也做了 HTTP 到 HTTPS 的跳转，但部分用户用 Chrome 或 Edge 访问时，地址栏仍然显示“不安全”，有时还伴随页面样式错乱、接口请求被拦截。

这里需要先纠正一个常见误解：

浏览器地址栏的“不安全”标记，通常不是由缺失 HSTS、CSP 等安全响应头直接触发的。

 在 Chrome/Edge 中，它更常见于以下情况：

缺失安全响应头，通常会在安全扫描器、合规基线或第三方评分工具里被标为风险项，而不是直接让浏览器地址栏弹出“不安全”。因此，排查时应该先把证书、HTTPS 上下文和混合内容查清楚，再把安全响应头当作纵深防御和合规加固手段。本文按这个顺序展开，并给出可复现的配置与验证方式。

本次实践基于以下环境，实际落地时请按自己的版本和权限调整：

：开发者工具 Network 面板中，主文档 Request URL 是否为 

：在浏览器开发者工具的 Security 面板查看证书是否有效、域名是否匹配、证书链是否完整。也可以用 

。HTTPS 页面加载 HTTP 的 JS、CSS、图片、接口时，浏览器可能拦截或告警。 4. 

：确认 HTTP 到 HTTPS 跳转没有循环、没有跳到错误域名，也没有在跳转过程中丢失关键路径。 5. 

：HSTS、CSP、X-Content-Type-Options、X-Frame-Options、Referrer-Policy 等，用于加固，而不是修复证书或混合内容的直接手段。

在 HTTPS 已经正确的前提下，建议补齐这些响应头：

这些头不会把无效证书变成有效证书，也不会自动消除混合内容警告。它们的价值在于：当 HTTPS 基础正确后，进一步提升浏览器侧的安全约束。

安全响应头可以在源站 Nginx 下发，也可以在 CDN 边缘节点下发，两者影响不同：

1. 在测试域名或测试路径上先用 

 和浏览器开发者工具记录当前响应头与证书状态。 2. 修复确定的证书问题、HTTP 跳转问题和混合内容问题。 3. 设计安全响应头清单，CSP 建议先用 

 观察。 4. 选择下发位置：若流量经过 CDN，优先评估在边缘节点统一添加；若未接入 CDN，则在 Nginx 中配置。 5. 在测试环境验证响应头、页面功能和第三方资源加载。 6. 低峰期发布到生产，刷新 CDN 缓存，再次验证。 7. 用浏览器 Security、Network、Console 三个面板交叉确认：证书是否正常、响应头是否下发、CSP 是否误拦截。

 适用于较新 Nginx 版本，旧版本可继续使用 

server {
    listen 443 ssl;
    http2 on;
    server_name example.com;

    ssl_certificate     /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;

    # HSTS：初期只启用 max-age，确认业务没有 HTTP 回退需求后，再评估 includeSubDomains
    add_header Strict-Transport-Security "max-age=31536000" always;

    # CSP：建议先用 Report-Only 观察，确认无拦截后再切换为正式头
    # add_header Content-Security-Policy-Report-Only "default-src 'self'; script-src 'self' https://third-party-analytics.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; object-src 'none'; base-uri 'self'; frame-ancestors 'self'; report-uri /csp-report;" always;

    add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://third-party-analytics.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; object-src 'none'; base-uri 'self'; frame-ancestors 'self';" always;

    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    location / {
        root  /usr/share/nginx/html;
        index index.html index.htm;
    }
}

如果使用腾讯云 CDN，可以在 CDN 控制台中查找与 HTTP 响应头、自定义响应头相关的配置入口，将上述安全头在边缘节点下发。不同控制台版本、加速类型或账号权限下的菜单名称可能不同，请以腾讯云官方文档和实际控制台为准。

应返回 301 或 308，并跳转到 HTTPS 地址。

openssl s_client -connect example.com:443 -servername example.com

确认证书、链、域名匹配情况。

补齐安全响应头后，网站的纵深防御和合规评分通常会改善，但地址栏是否显示“安全”仍取决于证书、HTTPS 上下文和混合内容。如果证书无效或页面仍加载 HTTP 资源，仅加安全头不会消除“不安全”提示。

HSTS preload 不是配置了就自动加入

 并不会让域名进入浏览器预加载列表。通常需要向 

 等条件。审核周期不确定，移除流程较慢，且会影响所有子域。未提交成功前，

 指令本身不会让浏览器使用内置列表。建议先启用 

 很容易拦截内联脚本、第三方 SDK 或接口。建议先用 

 观察，逐步把内联脚本改为外部文件，或使用 

 中的配置。安全头建议用单独文件统一 

 源站已配置但通过 CDN 访问没有，可能是缓存了旧响应，或者回源请求没有命中预期 server 块。需要刷新缓存，并确认回源协议与源站配置匹配。

 可以协助升级部分请求，但仍应修复资源 URL，把 HTTP 引用改成 HTTPS 或协议相对地址，并验证第三方资源是否支持 HTTPS。

 证书过期、域名不匹配、中间证书缺失，都会直接触发浏览器警告。这类问题应优先于安全响应头处理。

当基础安全响应头稳定后，可以继续做这些工作：

HTTPS 已启用但浏览器仍提示“不安全”，应先排查 HTTP 页面、证书无效/过期/域名不匹配、混合内容等问题。安全响应头是纵深防御和合规加固手段，不是消除地址栏警告的直接原因。把这两件事分开后，再补齐 HSTS、CSP、X-Content-Type-Options、X-Frame-Options、Referrer-Policy 等配置，才能既定位准确，又稳步提升安全性。

落地时重点注意：源站下发和边缘下发的差异、回源协议的影响、HSTS preload 的提交前提、CSP 的渐进式上线，以及 CDN 缓存带来的验证偏差。建议先在测试环境核对版本、权限和业务兼容性，再应用到生产环境。

HTTPS 已启用仍提示不安全：先排查证书与混合内容，再加固安全响应头

网络与通信

安全

运维

HTTPS已配置但浏览器仍提示“不安全”，应先排查页面是否走HTTP、证书有效性及混合内容，而非仅看安全响应头。在证书与HTTPS上下文正确后，再通过源站Nginx或CDN边缘下发HSTS、CSP、X-Content-Type-Options等头加固，注意回源协议、缓存及CSP渐进式上线，避免误拦截业务。

2026上云采购 | AI焕新·智启新局

CDN免费试用


热销域名限时优惠，新客首年免费！


domain

coding

4核4G3M云服务器 新用户低至38元/年！

免费为网站领一份“网站综合险”

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

HTTPS 已启用仍提示不安全：先排查证书与混合内容，再加固安全响应头

HTTPS 已启用仍提示不安全：先排查证书与混合内容，再加固安全响应头

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐