Как узнать, что сайт защищён?

Быстрее всего проверить по адресной строке: если сайт открывается по https:// и слева от адреса есть значок замка без предупреждений — соединение защищено сертификатом SSL. Разное поведение на телефоне и компьютере обычно значит, что у клиента сохранилась старая версия страницы в кэше браузера или он попал на сайт по старой ссылке с http://.

Проверить сертификат можно и без чужого телефона — сервисом вроде SSL Labs (ssllabs.com/ssltest) или командой openssl s_client -connect ваш-сайт.ru:443 -servername ваш-сайт.ru | openssl x509 -noout -dates в консоли. Строка notAfter покажет дату окончания сертификата: если она в прошлом, часть посетителей уже видит предупреждение, а часть ещё нет, потому что сертификат кэшируется в браузере и обновляется на разных устройствах не одновременно.

Если сертификат в порядке, а предупреждение всё равно есть, причина обычно в смешанном контенте: часть картинок, скриптов или ссылок на странице подключена по старому http://, и браузер помечает всю страницу как незащищённую, хотя сам сертификат живой.

Найти такие ресурсы можно в консоли разработчика браузера (клавиша F12, вкладка Console) — там будут предупреждения вида Mixed Content для каждого небезопасного элемента на странице, и по ним видно, что именно менять.