security - 一些用户报告网站不安全

Question

我有一个刚刚安装了 SSL 证书的客户。我将其添加到 .htaccess 文件中以强制用户重定向到 https 并强制他们访问 www:

# Redirect bare domain to www and HTTPS
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule (.*) https://www.twentyteninc.com/$1 [R=301,L]

# Redirect HTTP to HTTPS
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}/$1 [R=301,L]

我还解决了所有混合内容警告。现在，一切都重定向到 https，我在我测试的所有浏览器中都得到了漂亮的锁符号。

不幸的是，一些用户仍然看到“不安全”消息:

如果我运行 Qualys SSL 测试，它会返回 A 分数:

这可能是什么原因造成的？为什么一切对我来说都是安全的，但对某些人来说却不是？

Answer 1

我的问题是客户端使用的 WordPress 主题是通过 HTTP 而不是 HTTPS 拉取网站图标，无论出于何种原因，我的浏览器(以及我测试过的所有其他浏览器)只是选择根本不加载它。

这导致我从未收到混合内容警告。

在盯着上面的屏幕截图看了足够长的时间后，我注意到网站图标正在加载，而且它不是为我准备的，这促使我去挖掘它的主题。