为什么移动浏览器拒绝自签 SSL 证书?

2018 年后, iOS Safari / Android Chrome 90+ / 微信内置 / QQ / 微博浏览器全部移除了自签证书的 '继续访问' 选项, 直接静默拦截或红色全屏警告。原因是保护用户免受 MITM 中间人攻击。桌面 Chrome / Edge / Firefox 仍保留 '高级 → 继续前往' 选项, 所以自签在桌面能用但移动端全废。

ZeroSSL 免费证书可信吗?

可信。ZeroSSL 由奥地利 ZeroSSL GmbH 运营, 底层使用 Sectigo CA, 中间证书 'ZeroSSL RSA DV SSL CA 2' 被所有主流浏览器 (Chrome / Firefox / Safari / Edge) 和移动设备信任。免费 90 天 DV 域名验证证书, 跟付费证书同等级浏览器信任。

装 HTTPS 会让自部署工具变慢吗?

几乎不可察觉。TLS 握手增加 1 个 round-trip (首次连接 50-200ms, TLS session resumption 后 0ms)。Flask 同机部署, RSA-2048 解密额外 CPU 约 0.5ms 每请求, 用户完全感觉不到。现代 CPU 自带 AES-NI 硬件加速, 对称加密几乎免费。

一张 ZeroSSL 证书能同时给 baccpc.com 和 www.baccpc.com 用吗?

不能。ZeroSSL 免费版只支持单域证书 (SAN 列表里只有一项)。需要同时覆盖两个域, 选: (1) 申请两张免费证书, (2) 升级 ZeroSSL 付费版支持多域, (3) 用 IIS URL Rewrite 让裸域 301 跳到 www, 只给 www 申请证书。我家用方案 3。

把老 PRO 工具搬上 HTTPS: 我给 8000 端口装上正式证书的 6 小时

作者: 陈志远 | 2026-08-29 | 工具实操 / 5 分钟读完

上周三下午 3 点, 我在星巴克打开手机想用 PRO 工具查一下上半场路单, Safari 弹了个大红色警告: "此网站不支持安全连接"。电脑上好好的, 一上手机就废。当时第一反应是 3G/4G 网络问题, 换了 WiFi 一样。

回家打开 Chrome 复现: 自签证书在桌面是 "可以继续访问" 的小黄条, 在 iOS Safari 直接是 "不允许继续"。Android Chrome 更狠, 根本没 "继续" 按钮。

这篇文章记录我从发现 → 查问题 → 装 ZeroSSL → 部署 → 踩坑 → 修好的完整 6 小时, 顺便解释为什么这件事对任何跑本地/自部署工具的朋友都很重要。

症状: 80% 的移动浏览器拒绝自签证书

先说结论, 免得你看完才发现不是你的问题:

✅ 桌面 Chrome / Edge / Firefox: 弹 "您的连接不是私密连接" → 点 "高级" → "继续前往" → 能用
❌ iOS Safari (无痕模式): 直接挡死, 普通模式能进但 5 秒延迟 + 红色全屏警告
❌ Android Chrome 90+: 没有任何 "继续" 选项, 直接 ERR_CERT_AUTHORITY_INVALID
❌ 微信内置 / QQ / 微博浏览器: 100% 静默拦截, 页面转圈后白屏

我做了个粗略统计: 给身边 12 个朋友发了 PRO 工具链接, 桌面 12 个里 11 个能用, 移动端 12 个里 只有 2 个 (都是老 Android + 旧 Chrome) 能用。等于把 80% 的潜在用户卡在门外。

作为对比, 我们家的 PHD 工具也是同样情况, 改完之后手机能直接进, 后面会有对比图。

决策: 不买商业证书, 选 ZeroSSL 免费版

我的需求很简单:

必须是受信任 CA 签发的证书 (不是自签)
有效期至少 3 个月以上 (我懒得每月续)
支持单域名, 必须是 www.baccpc.com (我的老 PRO 跑在 8000 端口的子域)
不要钱

扫了一圈:

CA	免费	单域	有效期	DV 验证方式
Let's Encrypt	✅	✅	90 天	HTTP / DNS
ZeroSSL	✅ (3 个免费)	✅	90 天	DNS CNAME / HTTP
Cloudflare	✅ (需 CF 代理)	✅	15 年	自动
Sectigo / DigiCert 商业	❌ ($50+/年)	✅	1 年	DNS / 文件

最终选 ZeroSSL。理由: DNS CNAME 验证不用碰服务器文件 (Let's Encrypt HTTP 验证要装 acme.sh 或者暴露 80 端口, 我机器 80 已经被 IIS 占了)。

(后话: 90 天后续期也是同流程, 我打算下周单独写一篇续期 SOP。)

实施: 4 步装好证书

总耗时 6 小时, 其中 4 小时是踩坑 (后面讲), 实际干活就 30 分钟。流程:

Step 1: ZeroSSL 申请证书 (10 分钟)

去 zerossl.com 注册 → New Certificate → 填 www.baccpc.com → 选 90 天免费 → 它会给你一个 CNAME 记录让你加到 DNS:

主机: _5CA856F20F2D109CF6B26F0927B1A43C.baccpc.com
值:   9f7b11cfa5af85172870e15936857fb9.4a282cda8c9d892096197e0833bf72a0.ab12883837f650a.comodoca.com

去 GoDaddy DNS 加一条 CNAME, 等 5-10 分钟验证通过。

Step 2: 下载证书 (1 分钟)

ZeroSSL 控制台下载 certificate.crt + ca_bundle.crt (中间链) + private.key。把 leaf + 中间链合并成一个 cert.pem。

坑 #1: 直接 cat leaf.crt ca_bundle.crt 拼出来, PowerShell 5.1 默认会加 CRLF 换行符, Python 3.8 解析时报 KEY_VALUES_MISMATCH。最后用 Python cryptography 库按 LF 重新生成才解决。

Step 3: Flask 加 ssl_context (5 分钟)

老 PRO 是 Flask 应用, app.run() 改成:

from werkzeug.serving import make_server
import threading

cert = "cert.pem"
key  = "key.pem"

# HTTPS 8000
https_srv = make_server('0.0.0.0', 8000, app,
                         ssl_context=(cert, key),
                         threaded=True)
t = threading.Thread(target=https_srv.serve_forever, daemon=True)
t.start()

# 主线程等
https_srv.serve_forever()

一行加 ssl_context 就完事。Flask 1.0+ 原生支持, 不需要 gunicorn / nginx。

Step 4: 验证 (10 分钟)

浏览器开 https://www.baccpc.com:8000/, 应该看到:

地址栏绿色锁标
证书信息显示 "ZeroSSL RSA DV SSL CA 2" 颁发
无 "您的连接不是私密连接" 警告

手机 4G / 5G / WiFi 各测一次, 都能进就 OK。

踩坑清单 (省你 4 小时)

这是最值钱的部分。我掉的坑:

PowerShell Get-Content 拼证书会污染 CRLF → 改用 Python cryptography 库, 严格 LF 换行
ZeroSSL 免费版只支持单域名 → 我一开始填了 baccpc.com + www.baccpc.com, 实际只签了第一个 → 重新申请只填 www
GoDaddy DNS CNAME 首尾空格 → 复制粘贴时带了空格, 验证一直失败 → 用 nslookup 才看到
Flask 1.0.1 不支持 SNI → 一个进程只能绑一张证书, 多域名要启多个端口

每条都够写一篇文章, 这次不展开。下次有空单独写 "ZeroSSL + Flask 部署坑大全"。