SSL 证书检查
立即检查任意域名的 SSL 证书：到期时间、颁发者、信任状态和完整证书链。免费，无需登录。
如何解读 SSL 证书结果
结果中的每个字段都反映了证书的不同侧面。下面说明每项信息的含义，以及你应该重点看什么。
颁发者 (CA 名称)
签发该证书的机构。应当是 Let's Encrypt、DigiCert、Sectigo 或 GlobalSign 等知名 CA。如果颁发者和主题拥有相同的 CN 与 O，那么这就是自签证书，浏览器会显示警告。
主题备用名称
此证书可用于的域名和子域名列表。在生产环境中，建议确认同时包含裸域与 www 版本。通配符条目 (*.example.com) 会覆盖所有一级子域名，但不覆盖裸域或二级子域名。
到期时间与倒计时
这是证书失效的时间点。倒计时条会从绿色（>30 天）变为黄色（8–30 天），再变为红色（<7 天）。Let's Encrypt 证书每 90 天到期一次，商业证书通常有效 1 年。
TLS 协议版本
这是服务器为本次连接协商出的 TLS 版本。TLS 1.3 是当前标准，速度更快也更安全；TLS 1.2 仍然可以接受。TLS 1.0 和 1.1 已经过时，应禁用；SSLv3 和 SSLv2 存在严重漏洞。
序列号
这是 CA 为这张证书分配的唯一标识符。它可用于证书管理、OCSP stapling 排查，以及同一域名存在多张证书时的事件追踪。
SHA-256 指纹
这是整张证书内容的密码学哈希。两个相同的指纹意味着两张完全相同的证书。可在证书轮换前后比对指纹，确认更新是否已生效，或发现意外的证书替换。
证书到期处理建议
证书过期是 SSL 故障最常见的原因。可根据剩余天数对照下表，决定下一步该做什么。
| 距离到期天数 | 状态 | 建议操作 |
|---|---|---|
| > 30 天 | 正常 | 无需操作。建议在剩余 30 天时设置续期提醒。 |
| 8–30 天 | 警告 | 现在就开始续期。多数 CA 和自动续期服务（如 Let's Encrypt、Certbot）会在剩余 30 天左右处理续期。 |
| 1–7 天 | 紧急 | 请立即续期。证书一旦过期，浏览器会报错，所有 HTTPS 流量都会受到影响。 |
| 0 或更少 | 已过期 | 证书已经过期。请立刻更换，否则所有访问者都会看到安全错误提示。 |
Chrome、Firefox 和 Safari 中常见的 SSL 错误：原因与处理方法
下面列出了浏览器里最常见的 SSL 错误及其含义。先用此工具定位根因，再进行有针对性的修复。
证书的 valid_to 时间已经过去。证书已经过期，必须续期后浏览器才会继续信任该连接。
通过 CA 或托管服务商续期证书。请确认自动续期配置正常，多数 CA 会在到期前 30 天内自动处理续期。
浏览器地址栏中的域名没有出现在证书的 CN 或 SAN 字段中。常见原因包括域名迁移后配置遗漏、子域名不匹配，或证书签发给了错误的域名。
重新签发包含正确域名的证书。请确认裸域 (example.com) 和 www 子域 (www.example.com) 都在 SAN 列表中。
证书由浏览器或操作系统信任库中不存在的 CA 签发。这包括自签证书、内部 CA 签发的证书，或证书链缺少中间 CA 的情况。
安装来自公开受信任 CA 的证书。如果使用内部 CA，需要将根证书安装到客户端的信任库中，并确认服务器会返回完整的中间证书链。
证书已被签发它的 CA 明确吊销。通常是因为私钥泄露、域名所有权变更，或证书被误签发。
立即申请新证书。如果不是你主动吊销的，私钥可能已经泄露，需要尽快轮换密钥、重新签发证书并调查泄露原因。
服务器在 HTTPS 端口返回了 HTTP 响应，或代理在 TLS 握手完成前就返回了 HTTP 错误。换句话说，443 端口收到的是明文而不是 TLS。
确认服务器在当前连接的端口上正确提供 TLS。检查负载均衡器和代理配置，确保 SSL/TLS termination 设置正确。
客户端和服务器无法就 TLS 协议版本或密码套件达成一致。常见于服务器只支持 TLS 1.0/1.1（Chrome 84+、Firefox 74+、Safari 14+ 已弃用），或仍在使用现代浏览器已移除的密码套件。
在服务器上启用 TLS 1.2 和 TLS 1.3，并禁用 TLS 1.0 与 TLS 1.1。更新密码套件列表，移除 RC4、3DES 以及 export 级别密码。Nginx 和 Apache 可直接参考 Mozilla TLS 配置生成器提供的现成配置。
如何检查 SSL 证书（3 个步骤）
输入域名
在输入框中填入任意域名，例如 github.com 或 api.example.com。工具会自动去掉 https:// 前缀。若 HTTPS 服务不在默认的 443 端口上运行，也可以手动指定端口。
查看证书
几秒钟内，你就能看到完整证书信息：到期时间与倒计时、证书链、信任状态、协议版本（TLS 1.2 或 1.3）、密码套件、SAN 以及 SHA-256 指纹。我们不会存储任何数据。
阅读结果
如果证书已过期、自签或与主机名不匹配，结果会明确标出问题。到期提示会在剩余 30 天内变黄，剩余 7 天内变红。你也可以一键复制全部细节。
SSL 证书能告诉你什么？
SSL/TLS 证书是一种数字证书，用于证明网站身份并建立加密连接。当你通过 HTTPS 访问网站时，浏览器会先验证该网站是否使用了受信任证书颁发机构（CA）签发的证书，然后才建立加密通道。没有有效证书时，浏览器会显示安全警告并阻止访问，这会直接影响用户信任和搜索可见性。
每个 SSL 证书都包含 3 项核心信息：
- •主题 — 证书签发给的域名（OV/EV 证书还会包含组织信息）
- •颁发者 — 对证书进行签名和验证的证书颁发机构（CA）
- •有效期 — 证书被信任的起止时间
这个工具不会检查什么
这个工具会实时执行 TLS 握手并读取证书，但它不会：
- 不会为密码套件强度打分（A–F）。如需完整 TLS 体检，请使用 SSL Labs
- 不会检查 HSTS 头或是否进入 preload 列表
- 不会测试 OCSP stapling 配置
- 不会检测 certificate pinning (HPKP)
- 不会验证 HTTP 到 HTTPS 的重定向行为
SSL 证书类型
不同类型的证书对应不同级别的身份验证。证书类型反映的是 CA 在签发前核验了什么，而不是加密强度。
CA 只验证申请者是否控制该域名，不核验企业实体身份。通常可通过自动化 DNS 或 HTTP 验证在几分钟内签发。适合博客、个人站点和内部工具。证书主题中通常只有 CN（域名），不会包含 O（组织）字段。
CA 会同时验证域名控制权和组织的合法存在。通常需要 1 到 3 个工作日。证书的 O 字段会显示公司名称，访客可以查看证书详情确认所有者。适合企业官网和 API。
这是最严格的验证级别。CA 会验证域名、组织、实体地址、法律状态以及实际运营情况。它曾在浏览器中触发绿色地址栏，如今则主要在证书详情里显示公司名称。常见于金融机构和处理支付数据的电商平台。
这类证书通常通过 CN 或 SAN 中的 *.example.com 这种模式，覆盖根域名及其所有一级子域名。一个通配符证书可以保护 www.example.com、api.example.com、cdn.example.com 等多个一级子域名。但它不覆盖 dev.api.example.com 这样的二级子域名，这种情况需要单独的证书。
通过 Subject Alternative Names 扩展，一张证书可以覆盖多个彼此不同的域名。常见于多个产品共用一张证书的场景，例如 example.com、example.io 和 app.example.net。如今大多数现代证书即便只服务一个域名，也会使用 SAN，并将 CN 同步列在 SAN 中。
什么时候该检查 SSL 证书
部署前
在上线前先确认证书覆盖的是即将部署的准确域名。切换 DNS 到生产环境之前，请确认颁发者是受信任的 CA（而不是自签证书），SAN 同时包含裸域和 www 版本，协议至少为 TLS 1.2。
监控证书续期
提前关注到期时间。Let's Encrypt 证书每 90 天到期一次，若自动续期失败就会直接导致服务中断。商业证书通常有效 1 年。建议收藏这个工具，并每月检查一次所有剩余不足 30 天的证书。
安全审计
识别仍在使用 TLS 1.0 或 1.1、弱密码套件或自签证书的服务器。证书轮换后，可将 SHA-256 指纹与预期值比对，确认没有发生 MITM 替换。
域名迁移后
当域名迁移到新主机或 CDN 后，请确认新证书覆盖了对应域名、颁发者正确，且 SAN 与预期一致。若证书仍留在旧服务器而新环境未正确提供，即便 DNS 已解析正确，浏览器依然会报错。