WordPress 网站被标记不安全该如何解决？打开网站时，Chrome 地址栏突然显示”不安全”三个字，很多站长第一反应是证书坏了，但实际原因往往更复杂：可能是 SSL（安全传输协议）证书真的过期了，也可能是页面里还残留着 HTTP（超文本传输协议）资源，甚至是浏览器或 CDN（内容分发网络）缓存了旧证书状态。本文帮你把这三类原因拆开排查，按顺序执行就能定位 WordPress 网站被标记不安全的真正来源，并给出对应的修复方法。
先确认浏览器提示的准确含义
修复之前，要先读懂浏览器的提示。不同提示对应完全不同的故障层，盲目续费一张新证书可能根本解决不了问题。
- 点击地址栏的”不安全”或感叹号图标，查看具体说明。若提示”证书已过期”，属于证书层问题；若提示”正在加载不安全的脚本”或部分资源不安全，属于混合内容问题。
- 用 Chrome 打开网站后按 F12，切到 Security（安全）面板，查看证书的有效期起止日期。如果显示的过期时间与你记忆中的续费时间不一致，很可能是中间一层代理返回了旧证书。
- 在命令行执行
curl -vI https://你的域名 2>&1 | grep -i "expire\|subject:"，可以直接看到线上实际生效证书的主体和有效期，排除本机浏览器缓存的干扰。 - 对比
https://www.ssllabs.com/ssltest/一类的在线检测（外部参考，仅作诊断用途），确认全网节点看到的证书是否一致。
如果命令行看到的证书已经过期，而控制台里你又确实续费过，问题多半出在缓存层，我们接着往下排查。
证书过期的排查与续期
确认是证书本身过期后，按主机环境分两条路径处理。
使用虚拟主机或托管型 WordPress 主机的用户：证书通常由主机商的自动续期系统统一签发。登录主机控制面板，在 SSL/TLS 管理页面查看证书状态，如果显示已过期，先确认域名 DNS（域名解析系统）仍指向该主机 IP，解析变动会导致续期验证失败。Hostease 的 WordPress 主机默认为每个绑定的域名自动部署和续期 SSL 证书，遇到续期失败时可以提交工单让管理员检查验证记录，一般几分钟内就能重新签发。
自己管理 VPS（虚拟专用服务器）的用户：如果证书由 Let’s Encrypt 签发，执行以下命令手动续期并观察输出：
certbot renew --dry-run
certbot renew
systemctl reload nginx
--dry-run 会用测试环境演练一遍续期流程，不消耗正式签发额度。如果 dry-run 报错，常见原因是 80 端口被防火墙拦截，或者 DNS 解析还没生效，按报错提示修正后重试。续期成功后记得重载 Web 服务，让新证书真正生效。
证书层处理完，还有一类更隐蔽的情况：证书明明有效，浏览器却仍显示不安全，这时要检查页面内容本身。
混合内容：证书正常也会被标记不安全
混合内容指 HTTPS（安全超文本传输协议）页面里引用了 HTTP 资源，例如图片、脚本或样式表。现代浏览器会直接把这类页面降级为”不安全”，哪怕你的证书还有 300 多天有效期。
排查方法很直接：打开网站页面，按 F12 切到 Console（控制台）面板，浏览器会把所有 HTTP 资源的加载地址列出来。常见来源包括：
- 主题或插件里写死的
http://资源链接 - 数据库
wp_posts表中旧文章的 HTTP 图片地址 - 第三方嵌入代码（客服系统、统计脚本）仍使用 HTTP
批量修复数据库里的旧地址前，先备份。然后在 phpMyAdmin 或数据库命令行执行（假设表前缀为 wp_）：
UPDATE wp_posts
SET post_content = REPLACE(post_content, 'http://你的域名', 'https://你的域名');
如果你使用的主机不带数据库管理工具，也可以安装 Better Search Replace 类插件完成同样的替换，插件方式还支持先 dry run 预览替换范围。替换后刷新页面，Console 里不再出现 HTTP 资源警告，混合内容问题即告解决。
内容层修完，如果浏览器仍然显示不安全，最后要怀疑的就是各类缓存。
缓存残留：证书换了浏览器还记着旧的
证书、内容都正常，浏览器却继续报不安全，通常是某一层缓存了过期状态。按影响范围从小到大逐层清理：
- 浏览器缓存：先用无痕窗口打开网站验证。如果无痕窗口显示正常，说明是本机缓存，按 Ctrl+Shift+Delete 清除缓存的图片和文件即可。
- WordPress 缓存插件：WP Super Cache、W3 Total Cache 等插件会在服务器本地缓存页面 HTML，进入插件设置页面执行一次”清除全部缓存”。
- CDN 缓存：如果网站前面套了 CDN，旧证书状态或旧页面可能缓存在边缘节点，登录 CDN 控制台执行全域清除（Purge Everything），等待几分钟生效。
- 服务端代理缓存：部分主机环境的 Nginx 反向代理层也会缓存响应，必要时联系主机商清空代理缓存。
每一层清理后都用无痕窗口重新验证一次，定位到底哪一层才是真正的元凶。多数情况下，”证书已续期但浏览器仍报不安全”的工单，最后都落在 CDN 或缓存插件这两层上。
建立长期巡检，避免再次中招
排障只是止血，要避免网站再次被标记不安全，建议把证书管理纳入常规运维。你可以这样理解：证书就像门店的营业执照，过期前 30 天就应该收到提醒，而不是等顾客投诉了才发现。
- 在 UptimeRobot 一类的免费监控服务里添加证书到期监控，提前 30 天收到邮件告警。
- VPS 用户把
certbot renew写入系统定时任务（多数发行版安装 certbot 时已自动配置），并每月检查一次/var/log/letsencrypt/letsencrypt.log确认续期记录。 - 每次更换主题或插件后，用浏览器控制台扫一遍 Console 面板，防止新的 HTTP 资源混入。
- 如果你需要把证书、缓存、备份都交给主机商统一处理，可以考虑迁移到 Hostease 的 WordPress 主机，自动续期证书加免费 CDN 加速的组合能省掉大部分手工巡检工作。
总结：浏览器”不安全”标记来自三个方向——证书真的过期、页面存在混合内容、缓存残留旧状态。按”读提示、查证书、清混合内容、逐层清缓存”的顺序排查，绝大多数情况可以在 30 分钟内定位并修复。如果你想系统性地加固 WordPress 站点，推荐继续阅读 WordPress 安全加固清单 和 WordPress 速度优化指南，配合 多层缓存架构解析 理解缓存层的工作原理，遇到证书命令行报错时可以参考 Certbot 故障排查手册。
如果你需要一站式托管证书与缓存，可以考虑升级到带自动续期的主机方案，减少手工巡检负担。