网站出现打不开、跳转异常、浏览器提示连接不安全或页面内容被替换时，应按“访问入口—加密连接—页面内容—服务器与账号”的顺序检查。网站安全检查方法的重点不是只看一个在线评分，而是确认域名是否指向正确服务器、HTTPS 是否正常、页面是否被篡改，以及修复后访问链路是否恢复。

一、先确认故障现象和影响范围

检查前先记录出现问题的完整地址、提示文字、发生时间和访问环境。分别使用电脑与手机、不同网络，以及带有和不带有 www 的域名访问，判断问题是所有用户都遇到，还是某个设备、网络或浏览器的本地问题。

• 完全无法打开：优先检查域名解析、服务器状态、端口连接和主机资源。
• 只有 HTTPS 打不开：重点检查证书有效期、证书域名、证书链和 443 端口。
• 页面能打开但自动跳转：检查网站程序、数据库内容、重定向规则和前端脚本。
• 浏览器提示风险：核对证书、混合内容、恶意代码提示及站点安全服务状态。
• 部分页面异常：对比首页、登录页、后台和静态资源，定位具体目录或功能。

如果只有一台设备无法访问，可以先清理 DNS 缓存、浏览器缓存并更换网络复测；如果多个网络均出现相同结果，则应继续检查域名和服务器，而不是反复刷新页面。

二、检查域名解析是否指向正确服务器

打开域名管理平台，核对 A 记录、AAAA 记录、CNAME 记录是否仍指向实际使用的主机或 CDN。重点查看最近是否发生过主机迁移、解析修改、DNS 服务商切换或代理状态变化。解析记录指向旧服务器时，可能表现为打不开、显示默认页面，甚至打开了不属于本网站的内容。

可以在本机执行域名解析查询，也可以使用可信的解析检测工具，从多个地区查看结果是否一致。检查结果应满足三个条件：解析出的地址属于当前服务器或指定 CDN；不同网络没有长期分裂到多个错误地址；域名不存在误配的 IPv6 记录。

若主域名与 www 域名使用不同解析记录，应分别访问并核对。需要统一跳转时，只保留明确的规范域名，避免在两个地址之间循环跳转。修改解析后不要立即把尚未生效的结果当成服务器故障，先观察各地解析是否逐步一致。

三、检查 HTTP 和 HTTPS 连接状态

域名解析正常后，分别测试 HTTP 与 HTTPS。查看浏览器地址栏、证书详情和最终跳转地址，确认是否存在 HTTP 与 HTTPS 来回跳转、证书与域名不匹配、证书过期或证书链不完整等问题。

• 证书覆盖当前访问的域名，包括主域名和实际使用的子域名。
• 证书在当前日期仍处于有效期，服务器时间也应准确。
• 证书链完整，普通浏览器和移动端不会因缺少中间证书而报错。
• 网站强制使用 HTTPS 后，图片、脚本、字体等资源也应使用 HTTPS。
• 80 和 443 端口的规则清晰，不能因防火墙或安全组配置导致间歇性超时。

如果页面能显示但浏览器仍提示部分内容不安全，打开开发者工具查看被拦截的资源，替换页面中写死的 HTTP 地址，并检查主题、插件、统计代码和广告代码。不要仅通过关闭浏览器提示来判断问题已经解决。

四、检查页面是否被篡改或出现异常跳转

连接恢复后，再检查实际内容。将当前首页与最近一次正常备份、发布版本或内容记录进行对比，重点查看首页头部、底部、模板文件、公共脚本和数据库中的链接。陌生的博彩、广告、下载、跳转代码，以及只在手机端触发的隐藏内容，都是需要进一步核对的异常。

检查页面源代码和浏览器网络请求，观察是否加载了不认识的脚本、外部接口或可疑重定向。若首页正常而某些页面异常，应按目录、模板和插件逐项定位；若所有页面都跳转到同一地址，则优先检查服务器配置、站点根目录文件和数据库公共字段。

同时查看搜索引擎收录页面、站点地图和 robots 文件是否被异常修改。它们不能单独证明网站安全，但可以帮助发现用户不容易直接访问到的隐藏页面。对可疑文件不要只改后缀或删除页面文字，应保留现场副本，再与干净版本逐项比对。

五、检查服务器、程序和管理账号

在主机控制台查看 CPU、内存、磁盘、进程和访问日志。磁盘写满、PHP 或应用进程耗尽、数据库连接数过高，都会造成网站打不开；大量异常请求、频繁登录失败或陌生管理操作，则需要结合日志确认来源和时间。

• 核对 Web 服务配置中的站点目录、默认首页、重写规则和重定向规则。
• 确认程序、主题、插件及运行环境仍在支持版本范围内，并删除不再使用的组件。
• 检查网站目录权限，避免上传目录被当作脚本执行目录。
• 核对后台账号、主机账号、数据库账号和 DNS 账号的登录记录。
• 检查是否存在陌生管理员、异常定时任务、未知 SSH 密钥或新增启动项。

如果发现账号或文件异常，先限制后台入口和可疑访问，再从可信设备修改密码并启用多因素验证。密码修改不能替代文件和日志检查，因为异常程序可能继续保留原有访问能力。

六、按故障类型执行恢复操作

确认原因后再进行修复，避免同时修改解析、证书、程序和防火墙，导致无法判断哪项配置产生了结果。

七、什么情况下可以恢复正常访问

网站修复完成后，不要只以“首页能打开”作为结束标准。满足以下条件后，才适合恢复正常推广或解除维护页面：

• 域名解析指向正确，HTTP、HTTPS 和规范域名跳转关系明确。
• 证书有效且匹配域名，页面没有被浏览器拦截的混合内容。
• 首页、主要内页、登录功能、表单和静态资源均能正常加载。
• 页面源代码中没有陌生脚本、隐藏链接或未经确认的外部跳转。
• 管理员、主机、数据库和 DNS 账号已核对，异常账号与任务已处理。
• 服务器资源稳定，错误日志不再持续出现同类故障。
• 已保留干净备份，并记录本次修改的配置、文件和时间。

最后从至少两种网络和两类设备进行完整访问测试，观察一段时间的日志与监控。如果问题反复出现，应继续追查程序、主机或账号层面的根因，而不是只重复清缓存或更换证书。按照上述顺序执行，网站安全检查方法就能同时覆盖“为什么打不开”“是否存在异常”和“修复后何时恢复”三个实际操作结果。