「您的连接不是私密连接」：先找错误代码，再决定修哪里

浏览器拦下一个 HTTPS 网站时，会用一个红色页面告诉你「您的连接不是私密连接」。Firefox 说的是「警告：面临潜在的安全风险」，措辞不同，含义一样：证书验证没通过，所以在你确认之前，浏览器不打算把内容交给你。

麻烦的地方在于，这一句话背后是七八种成因完全不同的故障 —— 证书过期、少签了域名、链不完整、签发机构不受信任……它们的修法互不相干，而这句话对所有情况都一模一样。

真正的线索是红屏下面那行大写代码。

先找到错误代码

如果页面上完全没有 ERR_ 字样，而是写着「此网站无法提供安全连接」，那不是证书问题，跳到最后一节。

按代码对号入座

NET::ERR_CERT_AUTHORITY_INVALID 那一行有三篇文章，因为它是最含糊的一个代码：自签名、私有 CA、公开 CA 但少发了中间证书，浏览器给出的反应完全相同。分辨方法在那三篇里都有对应的命令。

先分清：只有你看到，还是所有人都看到

这一步比找代码更值得先做，因为它决定问题在谁那里。

换一个网络访问同一个地址 —— 用手机流量，或者让一个不在同一个办公室的人打开看看。

• 别人正常，只有你不行 → 问题在你这一侧。三个常见原因：本机时钟不准（证书有效期是按时间判断的，差几天就会报 ERR_CERT_DATE_INVALID）；杀毒软件或企业网关开了 HTTPS 扫描，用自己的证书替换了真的那张；连着会劫持流量的公共 Wi-Fi。
• 所有人都不行 → 问题在服务器或证书上，按上一节的代码找对应的文章。

如果你是访客，不是这个站的管理员

你能做的只有排除自己这一侧：校准系统时间、换个网络、临时关掉杀毒软件的 HTTPS 扫描试一次。如果换了网络还是报错，那就是对方的站点配错了，你修不了，只能等他们修。

网上流传的做法是在红屏页面上直接敲 thisisunsafe（不是敲进地址栏）强行进入。它确实能进去，但它不解决任何问题，只是让浏览器不再提醒你。

如果你是站长

先确认自己看到的和访客看到的是同一件事 —— 你的浏览器可能缓存过中间证书，因而比访客更宽容：

# 服务器实际发出的完整证书链，以及验证结果
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates

# 只看链是否完整：结果不是 0 就说明访客那边会报错
echo | openssl s_client -connect example.com:443 -servername example.com 2>&1 \
  | grep "Verify return code"

Verify return code: 0 (ok) 以外的任何结果，都对应上面表格里的某一行。

「此网站无法提供安全连接」不是证书问题

这句话（Chrome 里通常伴随 ERR_SSL_PROTOCOL_ERROR）说的是握手本身就没谈成，根本没走到验证证书那一步。常见成因是客户端和服务器没有共同支持的 TLS 版本或加密套件 —— 比如服务器只留了 TLS 1.2/1.3，而访问者用的是很旧的系统或设备。

排查方向见关闭 TLS 1.0 / 1.1。如果连接干脆超时或被拒绝，而不是握手失败，那是无法连接。