Pemeriksa Sijil SSL
Semak sijil SSL mana-mana domain dengan serta-merta — lihat tarikh tamat tempoh, penerbit, status kepercayaan dan rantaian penuh. Percuma, tanpa log masuk.
Cara Membaca Keputusan Sijil SSL Anda
Setiap medan dalam set hasil memberitahu anda sesuatu yang berbeza tentang sijil. Berikut ialah maksud setiap maklumat dan perkara yang perlu dicari.
Pengeluar (Nama CA)
Organisasi yang menandatangani dan mengeluarkan sijil. Haruslah CA yang terkenal seperti Let's Encrypt, DigiCert, Sectigo atau GlobalSign. Jika pengeluar dan subjek berkongsi CN dan O yang sama, sijil ditandatangani sendiri — penyemak imbas akan menunjukkan amaran.
Nama Alternatif Subjek
Senarai domain dan subdomain yang sah untuk sijil ini. Untuk pengeluaran, sahkan bahawa kedua-dua domain puncak dan www hadir. Entri kad bebas (*.example.com) merangkumi semua subdomain peringkat pertama tetapi bukan subdomain puncak atau peringkat kedua.
Tarikh Luput & Kira detik
Tarikh selepas itu sijil tidak lagi sah. Bar kira detik berubah daripada hijau (>30 hari) kepada kuning (8–30 hari) kepada merah (<7 hari). Sijil Let's Encrypt tamat tempoh setiap 90 hari; sijil komersial biasanya bertahan 1 tahun.
Versi Protokol TLS
Versi TLS yang dirundingkan oleh pelayan anda untuk sambungan ini. TLS 1.3 ialah standard semasa — lebih pantas dan lebih selamat. TLS 1.2 boleh diterima. TLS 1.0 dan 1.1 ditamatkan dan harus dilumpuhkan; SSLv3 dan SSLv2 sangat terdedah.
Nombor Siri
Pengecam unik yang diberikan oleh CA kepada sijil khusus ini. Berguna untuk pengurusan sijil, carian stapling OCSP dan penjejakan insiden apabila berbilang sijil wujud untuk domain yang sama.
SHA-256 Cap Jari
Cincang kriptografi kandungan penuh sijil. Dua cap jari yang sama bermaksud dua sijil yang sama. Bandingkan cap jari sebelum dan selepas putaran sijil untuk mengesahkan kemas kini telah digunakan — atau untuk mengesan penggantian sijil yang tidak dijangka.
Pelan Tindakan Tamat Sijil
Tamat tempoh adalah punca paling biasa gangguan SSL. Gunakan jadual ini untuk mengetahui tindakan yang perlu diambil berdasarkan jumlah hari yang tinggal.
| Hari Sehingga Luput | Status | Tindakan yang Disyorkan |
|---|---|---|
| > 30 hari | OK | Tiada tindakan diperlukan. Jadualkan peringatan pembaharuan pada tanda 30 hari. |
| 8–30 hari | Amaran | Mulakan pembaharuan sekarang. Kebanyakan CA dan perkhidmatan pembaharuan automatik (Let's Encrypt, Certbot) diperbaharui pada 30 hari. |
| 1–7 hari | mendesak | Perbaharui segera. Sijil tamat tempoh menyebabkan ralat penyemak imbas dan menyekat semua trafik HTTPS. |
| 0 atau negatif | Tamat tempoh | Sijil tamat tempoh. Gantikannya dengan segera — tapak anda menunjukkan ralat keselamatan kepada semua pelawat. |
Ralat SSL Biasa dalam Chrome, Firefox & Safari — Punca & Penyelesaian
Ini adalah ralat SSL yang paling kerap dilihat dalam penyemak imbas dan maksud setiap satu. Kenal pasti punca dengan alat ini, kemudian gunakan pembetulan yang disasarkan.
Sijil valid_to date adalah pada masa lalu. Sijil telah tamat tempoh dan mesti diperbaharui sebelum penyemak imbas mempercayai sambungan tersebut.
Perbaharui sijil melalui CA atau penyedia pengehosan anda. Pastikan pembaharuan automatik dikonfigurasi dengan betul — kebanyakan CA memperbaharui secara automatik dalam tempoh 30 hari sebelum tamat tempoh.
Domain dalam bar alamat penyemak imbas tidak disenaraikan dalam medan CN atau SAN sijil. Ini berlaku selepas pemindahan domain, subdomain tidak sepadan atau sijil dikeluarkan untuk domain yang salah.
Keluarkan semula sijil termasuk domain yang betul. Semak bahawa kedua-dua domain puncak (example.com) dan subdomain www (www.example.com) berada dalam senarai SAN.
Sijil dikeluarkan oleh CA yang tiada dalam stor amanah penyemak imbas atau OS. Ini termasuk sijil yang ditandatangani sendiri, sijil yang dikeluarkan secara dalaman atau sijil yang tiada CA perantaraan daripada rantaian.
Pasang sijil daripada CA yang dipercayai awam. Jika menggunakan CA dalaman, pasang sijil akar dalam stor amanah pelanggan. Pastikan pelayan menghantar rangkaian perantaraan penuh.
Sijil telah dibatalkan secara eksplisit oleh CA yang mengeluarkan — lazimnya kerana kunci persendirian telah terjejas, domain menukar pemilikan atau sijil dikeluarkan secara tersilap.
Dapatkan sijil baharu dengan segera. Jika anda tidak membatalkannya, kunci peribadi anda mungkin terjejas — putar kunci, keluarkan semula sijil dan siasat pendedahan.
Pelayan menghantar respons HTTP pada port HTTPS atau proksi mengembalikan ralat HTTP sebelum jabat tangan TLS selesai. Port 443 menerima teks biasa dan bukannya TLS.
Sahkan pelayan dikonfigurasikan untuk menyampaikan TLS pada port yang disambungkan. Semak konfigurasi pengimbang beban dan proksi — pastikan penamatan SSL disediakan dengan betul.
Klien dan pelayan tidak dapat bersetuju tentang versi protokol TLS atau suite cipher. Sering dicetuskan apabila pelayan hanya menyokong TLS 1.0/1.1 (tidak disokong lagi dalam Chrome 84+, Firefox 74+, Safari 14+), atau menggunakan suite cipher yang telah dikeluarkan dari pelayar moden.
Dayakan TLS 1.2 dan TLS 1.3 pada pelayan dan lumpuhkan TLS 1.0 dan TLS 1.1. Kemas kini senarai suite cipher pelayan untuk mengalih keluar RC4, 3DES, dan cipher gred eksport. Gunakan penjana konfigurasi TLS Mozilla untuk konfigurasi Nginx dan Apache sedia pakai.
Cara Menyemak Sijil SSL (3 Langkah)
Masukkan Domain
Taipkan sebarang nama domain — seperti github.com atau api.example.com — ke dalam medan input. Alat ini memotong mana-mana awalan https:// secara automatik. Anda juga boleh menentukan port tersuai jika perkhidmatan HTTPS tidak berjalan pada port lalai 443.
Periksa Sijil
Dalam beberapa saat anda akan melihat sijil penuh: tarikh tamat tempoh dan undur, rantaian penerbit, status kepercayaan, versi protokol (TLS 1.2 atau 1.3), suite sifir, SAN dan cap jari SHA-256. Tiada data disimpan.
Baca Keputusan
Jika sijil telah tamat tempoh, ditandatangani sendiri, atau terdapat ketidakpadanan nama hos, hasilnya menandai masalah dengan jelas. Bar tamat tempoh bertukar kuning dalam 30 hari dan merah dalam 7 hari. Salin semua butiran dengan satu klik.
Apa yang Diberitahu Sijil SSL kepada Anda?
Sijil SSL/TLS ialah bukti kelayakan digital yang mengesahkan identiti tapak web dan mendayakan sambungan yang disulitkan. Apabila anda melawat tapak melalui HTTPS, penyemak imbas anda mengesahkan sijil tapak — dikeluarkan oleh Pihak Berkuasa Sijil (CA) yang dipercayai — sebelum mewujudkan saluran yang disulitkan. Tanpa sijil yang sah, penyemak imbas memaparkan amaran keselamatan dan menyekat akses, secara langsung memberi kesan kepada kepercayaan pengguna dan kedudukan carian.
Setiap sijil SSL mengandungi 3 maklumat utama:
- •Subjek — nama domain (dan organisasi untuk OV/EV) yang sijilnya dikeluarkan
- •Penerbit — Pihak Berkuasa Sijil (CA) yang menandatangani dan mengesahkan sijil
- •Tempoh sah — tarikh mula dan tamat yang tepat semasa sijil dipercayai
Apa yang TIDAK Disemak oleh Alat Ini
Alat ini menjalankan jabat tangan TLS secara langsung dan membaca sijil. Ia tidak:
- Menilai kekuatan suite sifir (A–F) — gunakan SSL Labs untuk audit TLS penuh
- Semak pengepala HSTS atau status senarai pramuat
- Uji konfigurasi OCSP stapling
- Kesan pengetinan sijil (HPKP)
- Sahkan tingkah laku ubah hala HTTP ke HTTPS
Jenis Sijil SSL
Jenis sijil yang berbeza menawarkan tahap pengesahan identiti yang berbeza. Jenis menentukan perkara yang diperiksa oleh pengeluar sebelum menandatangani — bukan kekuatan penyulitan.
CA hanya mengesahkan bahawa pemohon mengawal domain — tiada identiti syarikat disemak. Dikeluarkan dalam beberapa minit melalui DNS automatik atau cabaran HTTP. Sesuai untuk blog, tapak peribadi dan alatan dalaman. Subjek hanya akan menunjukkan CN (nama domain), tanpa medan O (organisasi).
CA mengesahkan kawalan domain serta kewujudan undang-undang organisasi. Mengambil masa 1–3 hari perniagaan. Sijil menunjukkan nama syarikat dalam medan O — pelawat boleh memeriksa sijil dan melihat siapa yang memilikinya. Disyorkan untuk tapak perniagaan dan API.
Pengesahan yang paling ketat — CA mengesahkan domain, organisasi, alamat fizikal, status undang-undang dan kewujudan operasi. Sebelum ini mencetuskan bar alamat hijau dalam penyemak imbas. Sekarang menunjukkan nama syarikat dalam butiran sijil. Diperlukan oleh institusi kewangan dan platform e-dagang yang mengendalikan data pembayaran.
Meliputi domain akar dan semua subdomain peringkat pertama menggunakan corak *.example.com dalam CN atau SAN. Sijil kad bebas tunggal menjamin www.example.com, api.example.com, cdn.example.com dan banyak lagi. Tidak meliputi subdomain peringkat kedua seperti dev.api.example.com — yang memerlukan sijil berasingan.
Sijil tunggal boleh meliputi berbilang domain berbeza melalui sambungan Nama Alternatif Subjek. Biasa untuk mengehos berbilang produk di bawah satu sijil — cth. example.com, example.io dan app.example.net. Kebanyakan sijil moden menggunakan SAN walaupun untuk domain tunggal, dengan CN dicerminkan dalam senarai SAN.
Bila hendak menyemak Sijil SSL
Sebelum Pengerahan
Sahkan sijil meliputi domain tepat yang digunakan. Sahkan pengeluar ialah CA yang dipercayai (bukan ditandatangani sendiri), SAN menyertakan varian www dan apex, dan protokolnya ialah TLS 1.2 atau lebih tinggi sebelum menghalakan DNS kepada pengeluaran.
Pemantauan Pembaharuan Sijil
Semak tarikh luput secara proaktif. Sijil Let's Encrypt tamat tempoh setiap 90 hari — pembaharuan automatik yang terlepas menyebabkan gangguan. Sijil komersial biasanya bertahan 1 tahun. Tandai halaman alat ini dan semak setiap bulan untuk apa-apa di bawah 30 hari.
Audit Keselamatan
Kenal pasti pelayan yang masih menggunakan TLS 1.0 atau 1.1, suite sifir lemah atau sijil yang ditandatangani sendiri. Semak silang cap jari SHA-256 terhadap nilai yang dijangkakan selepas putaran sijil untuk mengesahkan tiada penggantian MITM berlaku.
Selepas Migrasi Domain
Selepas mengalihkan domain ke hos atau CDN baharu, sahkan sijil baharu meliputi domain, pengeluar adalah betul dan SAN sepadan dengan set yang dijangkakan. Sijil yang ditinggalkan pada pelayan lama dan tidak diperuntukkan pada pelayan baharu menyebabkan ralat penyemak imbas walaupun DNS adalah betul.