外贸 WordPress 独立站刚迁完主机、换了 SSL 证书，或刚给 CDN 开了橙云，自己用手机开好像一切正常，海外客户却发来截图：Chrome 地址栏写着 Not secure /「不安全」，产品图裂成方框，样式只加载了一半，询盘页按钮也点不动。这通常不是「证书没装上」这么简单，更常见的是混合内容（Mixed Content）：页面本身已经是 https，但 CSS、JS、图片、字体等资源仍在用 http 加载。现代浏览器会拦截主动混合内容（尤其是脚本和样式），被动混合内容（图片、视频）则可能裂开或显示警告。
一句话结论：先把站点地址、混合内容排查、全库安全替换、证书与 CDN、抽检验证这五步做完，再谈投放和补量。地址与协议没理顺就继续投广告，落地页在海外买家那边半残，浪费预算还伤品牌。下面五步不编造数据，也不绑定某个「必装」插件，只讲你能马上核对的方法。今天的主切口是迁机 / 换证 / 上 CDN 后的混合内容与强制 HTTPS；若你的问题是改版后大面积 404，请先看 改版后旧链接 301 五步；若是被挂垃圾页，请看 被挂垃圾页清理五步。
第一步：站点地址还是不是 http？全站强制 HTTPS 有没有环跳
WordPress 后台「设置 → 常规」里有两项：WordPress 地址（URL）和站点地址（URL）。迁机或换证后，这两项以及数据库 options 表里，经常仍残留 http://你的域名。请核对：后台两项是否都已是 https://你的域名；数据库 home、siteurl 是否一致；主题选项与自定义字段有没有写死的 http 首页地址；主机面板、Nginx/Apache 或插件是否已做 HTTP→HTTPS 强制跳转。只改后台、服务器层不跳转，访客仍可能先落到 http。同时避免环跳：CDN 强制 https、源站又强制回 http，或插件与服务器规则互相 301，浏览器会报重定向次数过多。常见坑：只在 CDN 开了「始终用 HTTPS」，源站 WordPress 地址仍是 http，后台、预览、部分插件回调全乱。
第二步：用开发者工具找混合内容（先分清主动 / 被动）
打开出问题的页面，看浏览器 Console 与 Security 面板。Console 里若有 Mixed Content 警告，点开即可看到具体资源地址。主动混合内容（CSS、JavaScript、iframe 等）通常会被直接拦截，页面半残、按钮失效；被动混合内容（图片、音视频、字体）可能裂图或触发「不安全」提示。优先修主动混合内容：主题样式、打包脚本、第三方统计/客服脚本若仍写 http，整页交互都会挂。请用无痕窗口或请海外同事复测——本机已有 HSTS 缓存时，本地可能「看起来正常」。常见坑：只看首页，产品详情、询盘表单、结账或广告落地页里另有硬编码 http 资源。
第三步：全库安全替换硬编码 http（含序列化，先备份）
主题、小工具、页面构建器、SEO 插件、轮播图里，经常把完整的 http://你的域名/... 写进了数据库。手工改几处不够，需要可处理 PHP 序列化字段的替换（例如 WP-CLI search-replace，或专门处理序列化的迁移工具）。普通文本查找替换容易弄坏序列化长度，导致小工具或主题选项空白。建议：先完整备份文件与数据库并确认可还原；只替换本站域名的 http→https（含实际在用的 www / 非 www 形态）；不要误伤第三方回调、支付网关、Webhook、部分物流/ERP 接口地址；替换后清一层页面缓存 / CDN 缓存，再复查 Console；上传目录里旧 HTML 导出、邮件模板、PDF 内链若有写死 http，也要排查。表单通知链路可参考 询盘表单五层防护。
第四步：证书链与 CDN SSL 模式
混合内容清干净后，若地址栏仍报警，再查证书与 CDN。核对证书是否在有效期内、用 SSL 检查工具看证书链是否完整（缺中间证书时，部分环境信任、部分移动端不信任）。若使用 Cloudflare 等「橙云」代理：SSL/TLS 模式优先 Full (strict)，且源站必须有有效证书；Flexible 只加密浏览器到 CDN 这一段，源站仍可能是 http，容易埋下混合与重定向隐患。源站与 CDN 的强制 https 规则只保留一处「权威」，避免环跳。HSTS 建议先用较短 max-age 观察，确认全站 https 稳定后再加长；上 preload 前务必确认没有还要回退 http 的路径。若改完地址后页面仍像「旧版」，可对照 缓存分层清旧内容。
第五步：验证——无锁红、无混合警告，关键页再抽检
改完不要只看首页「有把锁」。确认地址栏无「不安全」/ Not secure，Security 面板无混合内容警告；抽检询盘页、产品详情、分类列表、结账或广告落地页，Console 干净；在 Google Search Console 查看「安全问题」，若曾被标记按指引申请复核；广告后台预览与真实点击各测一遍，确认落地页在目标国家网络下资源齐全；换浏览器、清缓存或无痕再测，避免本机 HSTS / 缓存造成的假阴性。
先修协议与混合内容，再谈投放补量
五步过完，通常能分清三类情况：地址没改干净（后台或数据库仍是 http，强制跳转缺失或环跳）；资源仍在 http（主题/插件/页面硬编码，主动混合内容被拦）；证书或 CDN 模式不对（链不完整、Flexible、HSTS 过早加长）。WpWork 做 WordPress 外贸独立站诊断时，迁机换证后的「不安全 / 裂图」按「站点地址 → 混合内容 → 全库替换 → 证书与 CDN → 抽检验证」的顺序出书面清单。若你希望有人按优先级梳理先改哪几处，可 提交网址申请书面诊断，或微信联系 devdiy、邮箱 info@wordpress.work 说明域名与当前现象。
常见问题
只装了 SSL 插件，是不是就够了？
不一定。插件能辅助跳转和修一部分 URL，但数据库硬编码、CDN 模式、证书链、主题里写死的资源地址，仍需按上面五步核对。
为什么我本地看着正常，客户那边不安全？
本机可能已缓存 HSTS，或仍走内网/办公网解析；客户尤其是海外网络，更容易暴露混合内容与证书链问题。请用无痕窗口并请海外同事复测。
全库替换会不会把支付回调改坏？
有可能。替换范围应限定本站域名，并对已知第三方回调 URL 做排除或事后抽检支付、订阅、ERP 通知。
Cloudflare 用 Flexible 方便，为什么不推荐？
Flexible 只加密浏览器到 CDN 这一段，源站仍可能是 http，和「全站 https」目标不一致，也更容易出现重定向与混合内容隐患。有源站证书时优先 Full (strict)。
这和「网站被挂马出现垃圾页」是一回事吗？
不是。被挂马是安全入侵与垃圾内容清理；这里说的是协议与资源加载问题，页面主体仍是你的站，只是 https 与资源 URL 没对齐。被挂马请参考 被挂垃圾页清理五步。
相关阅读：更新前预发布与回滚五步、缓存分层清旧内容；需要按站点优先级出问题清单时，走 免费诊断。
