SSL 檢查器

不要等到倒數計時歸零：用 myeventwatch 免費監控，即可在到期前收到提醒。

憑證檢查能告訴你什麼

TLS 憑證是一份小小的公開文件，卻有著不成比例的影響。它把一個公開金鑰綁定到一份名稱清單上，由你的訪客的瀏覽器必須信任的頒發者簽署，並帶有硬性的開始和結束日期。本檢查器會對該網域的 443 連接埠執行一次真實的 TLS 交握——與第一次造訪的訪客的瀏覽器所執行的協商完全相同——並報告返回的結果。頒發者告訴你哪家憑證頒發機構在為這個網站背書，當你接手一套基礎設施、需要知道續期在哪裡辦理時這一點很有用。主體和 SAN 清單確切顯示憑證覆蓋哪些主機名；少了一個名稱——沒有 www 的裸網域，或一個被遺忘的子網域——是本來健康的網站出現瀏覽器警告的最常見原因之一。

有效期窗口是帶有截止日期的那一部分。檢查器把到期日期換算成剩餘天數倒數計時並配上顏色：超過九十天是安心的，九十天以內變黃，三十天以內變紅。它還會報告憑證鏈是否驗證通過——伺服器不僅必須出示自己的憑證，還必須按正確順序出示把它連結到受信任根憑證的中間憑證——以及主機名是否相符，還有協商出的通訊協定版本，這樣一個老舊的 TLS 1.0 端點便一目了然。

為什麼憑證總在最糟糕的時候到期

現代憑證是故意做得短命的。自動化頒發者通常只給九十天，這是良好的安全實務，也是一台無情的維運跑步機：一年續期十二次，每一次都可能讓自動化悄無聲息地失敗——一個不再能通過驗證的 DNS 挑戰、一台已停用伺服器上的續期腳本、一個更新後停止運行的外掛。失敗模式簡單得殘酷：某天早上憑證到期了，每個瀏覽器都顯示整頁警告，大多數訪客直接離開而不是點按繼續。搜尋引擎、支付服務商和 API 用戶端甚至更不留情。唯一可靠的防禦就是知道這個日期並得到提醒，這正是本頁每個結果都提供透過 myeventwatch 免費持續監控的原因：檢查器向你顯示今天的倒數計時，監控則確保你在三十天、十四天和七天時收到通知。

如何解讀有問題的結果

如果檢查器報告的是錯誤而不是憑證，訊息會準確說出失敗之處。No TLS 表示 443 連接埠沒有任何回應——該網站可能只提供 HTTP 或被防火牆擋住。Expired 和 self-signed 結果仍會顯示所出示憑證的頒發者和日期，因為一個壞掉的網站也仍然有一張值得一讀的憑證。主機名不相符表示憑證的名稱清單不包含你輸入的網域——檢查該網站是否本應透過另一個名稱存取，或者是不是在提供錯誤的憑證。不受信任的憑證鏈幾乎總是意味著伺服器缺少中間憑證，而有些瀏覽器會自己去抓取中間憑證從而掩蓋這一點——你的老訪客可能看不到問題，而每個新訪客都會看到。

想要完整的稽核，而不只是憑證？SSL 評級器會分別探測每個通訊協定版本，檢查前向保密和 HSTS，並對整套設定評級——檢查器告訴你憑證是否有效，評級器告訴你設定是否跟得上時代。而如果想看頒發歷史而不是即時交握，憑證透明度搜尋會列出公開日誌中該網域的每一張憑證，包括那些已經沒有任何伺服器出示的憑證。

常見問題