黄石一位做零售的老板问：证书装了，地址栏怎么还是灰色感叹号？还提示连接不完全安全。我的答案是：八成出在混合内容上。页面里还挂着 http 的图、脚本或接口，锁自然亮不起来。这个坑老站最常见，排查其实不难，顺着报错捋一遍就有数。
混合内容指什么
页面本身走了 https。里头的图片、视频、js脚本还用http地址加载。浏览器一查，站点安全评级立刻往下掉。老站改版后最常见。数据库里存着十年前的http图片链接，一页挂几十条，锁自然亮不了。
先把问题揪出来
按 F12 调出浏览器控制台。打开 Console 一看，混合内容列得明明白白；哪张图哪个脚本全能对上号。在线检测工具也能整站扫一遍。黄石有家做食品批发的，改版扫出两百多条旧链接，一次清完锁就绿。工具摆在那儿全是现成的，缺的是肯动手的人。
清理问题有三条路子
图片和静态资源，把地址批量换成 https 或相对路径。第三方接口，找服务商要 https 的版本。确实改不动的老资源，用代理转发兜住。清完强刷缓存再验一遍，别叫本地缓存骗了。三步做完，锁基本都亮得起来。
顺手把配置分再拉高
锁亮了只算及格线。TLS版本、HSTS、证书链完整度，这些决定检测工具打几分。SSL 证书部署由我们来做，交付的标准是检测拿 A 级。含1年免费维护，出了问题有人接手。评分往上多一分，访客瞧不出来，安全倒是实打实的。
企业主最常问的几件事
混合内容伤访客吗？
有，脚本级混合内容会被浏览器直接拦截，轮播图、表单可能罢工。
非要一张张改吗？
不用，静态资源批量换，数据库跑一遍替换语句，半天清得完。
清理完为啥还报警？
CDN缓存和浏览器缓存没刷新，等缓存过期或手动刷新再验。
新站也踩这坑吗？
新站建起就全走 https，没这毛病，老站改版最容易中招。
总结
末了定策：黄石企业网站，锁亮不亮，客户第一眼就看得见。混合内容不吓人，没人管才吓人。网站地址发给黄石信服无限，扫一遍就知道病根在哪，清不清你说了算。老站改版前后各扫一次，最稳当。工装上的灰和报表上的数，都得有人盯着。