FTP显示不安全服务器，本质是因为传统FTP协议在传输数据时未加密，或服务器的SSL证书不被信任，立即迁移到SFTP或FTPS并更新证书是唯一有效的解决方案。
FTP显示不安全服务器怎么解决？三步完成安全升级
很多网站在后台仍然使用FTP上传文件，但浏览器或客户端弹出的“不安全服务器”警告让人头疼，解决这个问题只需要三步,每一步都能直接消除警告来源。
第一步：确认当前FTP工作模式
你需要先搞清楚服务器到底在用什么协议，打开你常用的FTP客户端（比如FileZilla）,查看站点管理器里的协议类型：
- 如果协议是“FTP – 文件传输协议”，端口21，那就是明文传输,一定会触发不安全提示。
- 如果是“FTP over SSL/TLS（显式）”，端口21，或者“FTP over SSL/TLS（隐式）”，端口990，说明服务器支持FTPS,但证书可能有问题。
- 如果是“SFTP – SSH文件传输协议”，端口22，那是最安全的，但如果显示不安全,大概率是SSH版本或密钥配置问题。
浏览器访问ftp://链接时，地址栏会直接显示“不安全”，这是因为它只支持明文FTP，或者服务器证书不受信任，这种情况下，浏览器端的警告无法通过FTP本身消除,必须换协议。参考2
第二步：升级到SFTP或FTPS，彻底告别明文
行业共识认为，明文FTP在今天已经不适合任何生产环境,你需要做的是在服务器端开启加密协议。
- 切换为SFTP（推荐）：SFTP基于SSH，不需要额外购买证书，在Linux服务器上，确保SSH服务已安装，并修改
/etc/ssh/sshd_config，确保Subsystem sftp /usr/lib/openssh/sftp-server未被注释，重启SSH服务后，关闭传统FTP端口（21），客户端直接使用22端口和SSH账号连接,Windows服务器可以用OpenSSH或第三方工具。 - 切换为FTPS（需证书）：如果你必须保留FTP协议，那就启用FTPS，在服务器上安装SSL证书（可以是Let’s Encrypt免费证书），然后在FTP服务配置中勾选“要求SSL连接”，FileZilla Server等工具支持显式或隐式FTPS，选隐式（990端口）更直接,浏览器无法访问但客户端可以。
操作时注意：先保持旧FTP端口开放，让客户端测试新的加密连接成功后再关闭,避免服务中断。
第三步：正确部署证书，消除“不安全”警告
即使你用了FTPS，如果证书有问题，客户端依然会显示“不安全服务器”,证书需要满足三点：
- 由受信任的CA签发，比如Let’s Encrypt、DigiCert、GlobalSign等。
- 证书域名与服务器IP或域名匹配,不匹配会导致警告。
- 证书未过期，Let’s Encrypt每90天需续期,建议设置自动续签。
自签名证书只能用于内部测试，任何生产环境都不应该使用，因为浏览器和客户端无法自动信任它，如果确实需要自签名，必须在客户端手动导入根证书并设为信任，但这一步操作繁琐,且每次连接仍可能弹窗。
FTP连接提示不安全原因分析：从协议到证书
“FTP连接提示不安全”这个现象背后，原因通常集中在三个层面，你可以对照排查,定位问题再修复。
明文传输是根本隐患
传统FTP使用21端口，所有数据（包括用户名和密码）都以明文方式在网络中传输，任何人只要在同一个局域网或路由器上抓包，就能直接看到你的登录凭据，据统计，超过一半的FTP不安全警告都源于协议本身未加密，浏览器和客户端只是如实告知风险，这不是Bug,而是协议设计缺陷。
证书错误导致信任链断裂
FTPS虽然加密了数据，但证书不可靠时，警告依然会弹出,常见情况包括：
- 证书是自签名的,没有CA背书。
- 证书域名与服务器实际域名不符，比如证书颁发给
example.com，但服务器IP或域名是168.1.1。 - 证书已过期,但服务器未更新。
- 证书链不完整,缺少中间证书。
浏览器和大多数客户端会严格验证证书链，任何一环出错都会显示“不安全”，业内专家指出，这类问题在中小企业的服务器上尤其常见，很多人为了省事直接用了自签名证书,结果导致用户不断看到警告。参考1
客户端与服务器协议不匹配
有时服务器配置了FTPS，但客户端尝试用明文FTP连接，协商失败后客户端会提示连接不安全，或者直接拒绝，同样，如果服务器只支持显式FTPS（AUTH TLS），但客户端强制使用隐式FTPS，也会出现警告，这种情况在手动配置连接时经常发生，建议客户端选择“自动检测”或明确指定协议类型。
FTP与SFTP对比：哪个更安全，如何选择？
很多人在升级时纠结于选FTPS还是SFTP，这里用一张表说明核心差异,方便你根据场景做决定。
| 特性 | 传统FTP | FTPS | SFTP |
|---|---|---|---|
| 加密方式 | 无 | SSL/TLS | SSH |
| 默认端口 | 21 | 21（显式）或990（隐式） | 22 |
| 需要证书 | 否 | 是 | 否（使用SSH密钥） |
| 部署难度 | 低 | 中（证书管理复杂） | 中（需SSH配置） |
| 安全性 | 极低 | 高（取决于证书） | 高 |
| 浏览器访问 | 支持（但警告） | 部分支持（警告） | 不支持 |
| 传输效率 | 快 | 稍慢（加密开销） | 稍慢 |
场景建议
- 如果你需要兼容旧系统或浏览器访问，FTPS是唯一选择，但必须部署受信任的CA证书，并处理防火墙策略（被动模式端口开放）。
- 如果你追求最安全且无需浏览器支持，SFTP是业界推荐，它基于SSH，安全性久经考验，且不需要单独管理证书,密钥对即可。
- 如果你在云服务器上架设，大多数云平台（如简米云、酷番云）默认启用SSH，直接开启SFTP服务即可,无需额外配置。
企业场景下FTP服务器安全配置与租用建议
企业在选择FTP服务器时，往往先看价格，比如在北京或上海租用一台2核4G的服务器，月付价格从几百到上千元不等，但价格低不意味着安全配置可以省，很多低价服务器默认只开放明文FTP，甚至没有防火墙规则，这会导致“FTP服务器租用价格便宜但后续风险高”的局面。
租用服务器时必问的三个问题
- 是否支持SFTP或FTPS？ 如果不支持，直接排除，大部分Linux镜像默认支持SSH，SFTP天然可用；Windows镜像则需要额外安装FTP服务并配置SSL。
- 是否提供免费SSL证书？ 有些服务商集成Let’s Encrypt自动续签，可以省去手动操作，如果没有，你必须自己部署,并且要计入运维成本。
- 被动模式端口范围是否开放？ 如果使用FTPS，被动模式需要开放一系列端口（如30000-40000），防火墙规则没配好,客户端连接会失败。
具体配置步骤（以Linux服务器为例）
- 安装OpenSSH：
apt install openssh-server（Ubuntu）或yum install openssh-server（CentOS）。 - 确保SFTP子系统启用：检查
/etc/ssh/sshd_config中Subsystem sftp行非注释。 - 禁止密码登录，使用密钥对：
PasswordAuthentication no,然后生成密钥并发给客户端。 - 关闭明文FTP端口：如果之前运行了vsftpd或proftpd,停止服务并禁用开机自启。
- 配置防火墙：只开放22端口，其他FTP端口（21、990等）关闭。
- 测试连接：使用FileZilla选择SFTP协议，输入服务器IP和SSH密钥,连接成功且无警告即完成升级。
价格与安全的平衡
如果你在北京租用服务器，年付可能比月付便宜20%左右，但安全配置不能打折，即使预算有限，也要优先选择支持SFTP的服务商，因为证书和加密协议本身不增加成本，只是配置正确与否的问题，行业共识认为,安全升级的投入远低于一次数据泄露带来的损失。参考2
关于FTP显示不安全服务器的常见问题
问题1：为什么浏览器访问ftp://会显示不安全？
浏览器对FTP协议的支持正在逐步淘汰，Chrome、Edge等主流浏览器已经默认标记FTP为不安全，并且不再支持FTPS，即使你部署了证书，浏览器也无法正确处理,建议改为使用专用FTP客户端或WebDAV协议。
问题2：如何将现有FTP服务迁移到SFTP而不断服务？
先在服务器上启用SSH和SFTP，保持旧FTP服务同时运行，确认SFTP连接正常后，通知所有客户端切换到新协议，最后关闭明文FTP，可以设置一个过渡期，比如7天，期间两种协议都可用,确保业务不中断。
问题3：自签名证书和CA证书在安全性上有多大区别？
从加密强度来看，两者可以一样，但信任模型不同，自签名证书无法被浏览器和客户端自动信任，易受中间人攻击，且每次连接都会弹出警告，导致用户习惯性忽略风险，CA证书由受信任机构签发，是生产环境的标准选择,即使免费证书也完全够用。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/522961.html
