同配置双网站SSL检测正常但单个网站不定期被浏览器标记为不安全的排查求助

兄弟我太懂这种抓心挠肝的挫败感了——俩网站配置完全一致，Cloudflare设置也照搬，一个稳得一批另一个不定期被浏览器标红，各种SSL检测工具全给绿灯，甚至把网站删到只剩一行文本还犯病，换了服务商还跳不出这个坑，这搁谁都要崩溃！

给你几个我踩过坑后总结的排查方向，全是实打实能落地的：

• 先抓浏览器的实锤日志，别光看红感叹号
  右键页面→检查→切换到「安全」面板，或者直接点地址栏的红锁/感叹号看详细报错。是证书链不完整？还是HSTS缓存搞鬼？抑或是有个隐藏的子资源偷偷走了HTTP？检测工具抓不到的瞬时问题，浏览器的安全日志才是真凶。
• 挖HSTS的陈年旧坑（重点怀疑！）
  你说换了registrar和主机还犯病，90%是HSTS在搞鬼！浏览器会长期缓存HSTS政策，哪怕你现在配置全对，之前HTTPS失败的记录可能还在强制浏览器走HTTPS但又跳不通？
  试试手动清空这个域名的HSTS缓存：
  • Chrome/Edge：在地址栏输chrome://net-internals/#hsts，在「Delete domain security policies」里填域名删掉
  • Firefox：输about:config 搜network.stricttransportsecurity.preloadlist 临时禁用测试，或者去隐私设置清空对应站点的缓存
• Cloudflare的隐性差异排查
  别迷信「配置完全一样」，Cloudflare的缓存和规则是分域名的：
  • 先把这个域名的Cloudflare缓存全清了（缓存→配置→清空整个缓存）
  • 核对SSL模式是不是和正常网站完全一致（比如都是「严格」模式，别不小心设成「灵活」了）
  • 去「SSL/TLS→边缘证书」里，确认这个域名的证书状态正常，没有中间证书缺失的提示（有时候新证书部署了但边缘节点没同步）
  • 检查页面规则，有没有旧规则强制了HTTP跳转或者其他奇怪的设置
• 服务器端的细节差异
  哪怕是复制的配置文件，也可能有细微差别：
  • 查Nginx/Apache的虚拟主机配置，Strict-Transport-Security头是不是和正常网站完全一致？有没有漏写或者参数错误？
  • 用curl -v https://你的域名 反复测个十几次，看返回的证书、响应头有没有偶尔抽风的情况——比如certbot自动续期时的临时故障
  • 检查服务器hosts文件，有没有这个域名的错误解析指向
• DNS缓存的幽灵问题
  试试用不同网络（手机热点、陌生WiFi）访问，或者用nslookup 你的域名 多次解析，看是不是偶尔会跳到旧主机的IP？本地ISP或浏览器的DNS缓存可能还存着旧记录。
• 证书链的终极验证
  用openssl s_client -connect 你的域名:443 -showcerts 查看完整证书链，有没有中间证书缺失？有些SSL检测工具只测主证书，但浏览器对完整链的验证更严格，偶尔会因为链不完整报错。

我之前碰过几乎一模一样的情况，最后发现是用户的Chrome缓存了两年前的HSTS记录，哪怕域名换了三次主机还在作妖。先从浏览器日志和HSTS开始查，这俩是玄学SSL问题的重灾区！

备注：内容来源于stack exchange，提问作者meadio