SSL 证书检查

输入域名通过证书透明度日志检查其SSL/TLS证书。

域名

关于SSL证书检查

此工具通过 crt.sh 查询 证书透明度 日志，以查找为某个域名颁发的SSL/TLS证书。它还会测试该域名是否可通过HTTPS访问。

证书今天是否有效并不是有意思的问题；有意思的是九十天之后会怎样。自动签发让短有效期成了常态，所以如今大多数故障来自不再工作的续期流程，而不是一张本来就无效的证书。除了终端证书，也要看证书链：只发自己的证书而不带中间证书的服务器，在缓存过它的浏览器里能用，在别处一律失败。

哈希、令牌和密码的强度，取决于它们周围那段代码：成本因子还停在默认值，令牌没人检查过期时间，密钥被提交进了仓库。我们审查并加固应用，告诉你攻击者最先摸到的是哪一处。

在 Chrome 里能用，别处不行，为什么？

几乎总是缺了中间证书。见过它的浏览器会自己把链补齐；一个新客户端、一个手机应用或 curl 就没这运气。请从服务器把完整的链一起发出去。

应该提前多久续期？

把它自动化，别再按周去数。如果做不到，就在剩余有效期还剩三分之一时续：九十天的证书在还剩三十天时更换，这样一次续期失败也不会变成故障。

什么是证书透明度？

一组公开日志，每张签发出来的证书都会被写进去。你能在里面看到为你的域名签发的证书，包括你从没申请过的，这是发现这类事最快的办法。

证书有效是不是就说明网站安全？

不是。它只说明连接是加密的，而且名字对得上。任何人都能为自己控制的域名拿到证书，钓鱼站点的运营者也不例外。

为什么提示名称不匹配？

证书覆盖的是一份名字清单，而你访问的那个不在其中。通配符只覆盖一级，所以 *.example.com 的证书并不覆盖 a.b.example.com。