SSL 检查器

不要等到倒计时归零：用 myeventwatch 免费监控，即可在到期前收到提醒。

证书检查能告诉你什么

TLS 证书是一份小小的公开文档，却有着不成比例的影响。它把一个公钥绑定到一份名称列表上，由你的访客的浏览器必须信任的颁发者签名，并带有硬性的开始和结束日期。本检查器会对该域名的 443 端口执行一次真实的 TLS 握手——与第一次访问的访客的浏览器所执行的协商完全相同——并报告返回的结果。颁发者告诉你哪家证书颁发机构在为这个网站背书，当你接手一套基础设施、需要知道续期在哪里办理时这一点很有用。主题和 SAN 列表确切显示证书覆盖哪些主机名；少了一个名称——没有 www 的裸域名，或一个被遗忘的子域名——是本来健康的网站出现浏览器警告的最常见原因之一。

有效期窗口是带有截止日期的那一部分。检查器把到期日期换算成剩余天数倒计时并配上颜色：超过九十天是安心的，九十天以内变黄，三十天以内变红。它还会报告证书链是否验证通过——服务器不仅必须出示自己的证书，还必须按正确顺序出示把它链接到受信任根证书的中间证书——以及主机名是否匹配，还有协商出的协议版本，这样一个老旧的 TLS 1.0 端点便一眼可见。

为什么证书总在最糟糕的时候过期

现代证书是故意做得短命的。自动化颁发者通常只给九十天，这是良好的安全实践，也是一台无情的运维跑步机：一年续期十二次，每一次都可能让自动化悄无声息地失败——一个不再能通过验证的 DNS 挑战、一台已停用服务器上的续期脚本、一个更新后停止运行的插件。失败模式简单得残酷：某天早上证书过期了，每个浏览器都显示整页警告，大多数访客直接离开而不是点击继续。搜索引擎、支付服务商和 API 客户端甚至更不留情。唯一可靠的防御就是知道这个日期并得到提醒，这正是本页每个结果都提供通过 myeventwatch 免费持续监控的原因：检查器向你显示今天的倒计时，监控则确保你在三十天、十四天和七天时收到通知。

如何解读有问题的结果

如果检查器报告的是错误而不是证书，消息会准确说出失败之处。No TLS 表示 443 端口没有任何响应——该网站可能只提供 HTTP 或被防火墙挡住。Expired 和 self-signed 结果仍会显示所出示证书的颁发者和日期，因为一个坏掉的网站也仍然有一张值得一读的证书。主机名不匹配表示证书的名称列表不包含你输入的域名——检查该网站是否本应通过另一个名称访问，或者是不是在提供错误的证书。不受信任的证书链几乎总是意味着服务器缺少中间证书，而有些浏览器会自己去抓取中间证书从而掩盖这一点——你的老访客可能看不到问题，而每个新访客都会看到。

想要完整的审计，而不只是证书？SSL 评级器会分别探测每个协议版本，检查前向保密和 HSTS，并对整套配置评级——检查器告诉你证书是否有效，评级器告诉你配置是否跟得上时代。而如果想看颁发历史而不是实时握手，证书透明度搜索会列出公共日志中该域名的每一张证书，包括那些已经没有任何服务器出示的证书。

常见问题