SSL证书检查 - 在线SSL证书检查

SSL证书检查常见问题

SSL证书到期了怎么办？

证书到期后浏览器会显示"不安全"警告，访客会直接流失。要在到期前续期并重新部署：到CA控制台或证书提供方申请续期，下载新证书替换服务器上的旧证书，再重启Web服务生效。建议提前30天处理，给传播留缓冲。

免费证书和付费证书有什么区别？

免费证书（如Let\u0027s Encrypt）一般只有90天有效期，每3个月要自动续期一次，适合个人站、测试站；付费证书有效期通常1年，部分带企业验证(OV/EV)能显示公司名，更适合企业官网。加密强度上两者差距不大，区别主要在有效期和信任标记。

证书的三个类型：DV、OV、EV是什么？

DV(域名验证)只验证域名归属，最快几分钟签发，个人站够用；OV(组织验证)额外验证企业工商信息，浏览器会显示公司名；EV(扩展验证)是最高等级，会在地址栏直接显示企业名称，一般企业大站用。

为什么浏览器提示"证书不受信任"？

通常是因为：1) 用的自签证书；2) 证书链不完整，中间证书没装上；3) 证书过期；4) 证书域名和你访问的域名不匹配；5) 服务器时间不对。逐个排查，自签证书在正式环境不要用。

证书域名不匹配是什么情况？

证书签的是一串固定的域名列表，如果你用 www.example.com 的证书去访问 example.com（或反之），就会报域名不匹配。解决办法是申请时把主域和www都加进证书，或用通配符证书 *.example.com。

怎么让证书自动续期？

配合acme.sh或Certbot这类工具，配置cron定时任务，在证书到期前自动检测并重新签发部署，全程无需人工干预。很多面板（宝塔等）也内置了自动续期，勾选即可。

自签证书能用吗？

自签证书加密照样有效，但浏览器不认，会弹大红警告。它只适合内网测试、本地开发或你完全掌控客户端的环境。公网正式服务一定要用受信任CA签发的证书。

如何用命令行查看证书详细信息？

用 openssl s_client -connect 域名:443 -servername 域名 | openssl x509 -noout -text，能直接看到签发者、有效期、SAN域名列表、密钥算法等完整信息，比浏览器限制下能看到的多得多。

SSL证书检查 - 示例演示

示例一：检查官网是否正常走HTTPS

输入：域名 www.baidu.com，点击检查SSL证书

结果：返回证书状态正常，连接成功，协议为h2(HTTP/2)

能正常返回"HTTPS连接成功"说明证书有效、域名匹配。如果看到重定向到http，说明站点配置了回退到明文，不安全。

示例二：排查"不安全"警告

输入：域名 self-signed-test.example.com，自签证书

结果：连接失败或提示证书不受信任

自签证书在公网会被所有浏览器拒绝。要彻底解决，就去申请免费DV证书并正确部署，别在正式环境硬扛。

示例三：用命令行拿到完整证书信息

输入：openssl s_client -connect example.com:443 -servername example.com | openssl x509 -noout -text

结果：输出签发者CA、有效期起止、SAN域名、公钥算法等完整字段

前端工具拿不到这些，命令行是站长查证书信息的标准姿势，适合做到期监控和域名核验。

SSL证书检查深度解读

SSL证书到底在保护什么

很多人以为装了证书就"安全了"，其实SSL证书主要解决两件事：传输加密和身份验证。它把浏览器和服务器之间的数据加密，防止被中间人窃听、篡改；同时证明"你访问的确实是这个域名"。

SSL证书类型对比
类型	验证级别	签发时间	信任显示	适合
DV	仅验证域名	几分钟~几小时	地址栏小锁	个人站、博客、测试
OV	验证企业信息	1~3天	显示公司名	企业官网、电商
EV	最高验证	3~7天	地址栏直接显示企业名	银行、大型企业

对绝大多数个人站来说，DV免费证书已经完全够用，别为"看起来高级"多花冤枉钱。

证书链(Chain)为什么老出问题

证书不是"一张纸"，而是一条链：根证书→中间证书→你的服务器证书。浏览器只信任根证书，需要你服务器把中间证书一起发过去，它才能逐级验证到根。

只装了服务器证书、没装中间证书 → 浏览器不认。
中间证书版本不对或与CA不配套 → 报链不完整。
根证书无需安装，浏览器内置；但中间证书一定要手动部署。
部署后用 ssllabs 或 openssl 检查链是否完整。

证书链路检查点
检查点	正常	异常
服务器证书	域名匹配、未过期	报不匹配/过期
中间证书	已部署	提示链不完整
根证书	浏览器内置	一般无需安装
链顺序	服务器→中间→根	顺序错无法验证

解决"链不完整"最常见就是补传中间证书，很多面板一个勾就能自动补全。

证书到期监控与自动续期

证书过期是网站宕机最常见的隐形原因之一，因为平时没人看它，到期那天突然全站打不开。

用这个工具定期检查，或配置到期邮件提醒。
用 certbot renew --dry-run 测试自动续期脚本是否正常。
给续期脚本配cron，让它每月的1号跑一次。
续期后要 reload 或 restart Web服务，否则新证书不生效。

免费证书自动续期工具
工具	原理	特点
Certbot	自动申请+部署	Let's Encrypt 官方工具
acme.sh	纯 Shell 脚本	轻量、支持 DNS 验证
面板内置	宝塔等一键	零配置

上了自动续期后，也要定期用这个工具抽查一次，确认脚本真的在跑而不是默默失败。

HTTPS对SEO排名的意义

Google和百度都把HTTPS作为排名参考信号之一，使用https的站点在搜索结果中往往更受信任，点击率也更高。

全站https后要把所有http链接做301跳转到https。
旧站迁移https后要及时更新站点地图和robots里的地址。
图片、JS、CSS等资源也要走https，否则会有"混合内容"警告。
纯静态站用免费证书即可，成本几乎为零。

HTTPS 迁移清单
项	说明
全站301	http→https 跳转
更新Sitemap	替换为 https 地址
资源走https	避免"混合内容"警告
robots.txt	同步更新地址

对内容站来说，掌握免费证书+自动续期这一套，就能白白拿到HTTPS的信任和排名加成。

SSL证书检查参考数据

常见SSL证书有效期与适用场景

证书来源	有效期	是否需要续期	适合对象
Let\u0027s Encrypt(免费)	90天	每3个月自动续	个人站、博客
ZeroSSL(免费)	90天	每3个月	个人站、测试
付费DV	1年	每年续	个人/企业
付费OV	1年	每年续	企业官网
付费EV	1年	每年续	大型企业、金融

HTTPS常见报错与解决办法

错误提示	常见原因	解决办法
证书不受信任	自签/链不完整	装中间证书或用受信CA
证书已过期	未续期	续期并重新部署
域名不匹配	SAN里没有该域名	补域名或换通配符证书
混合内容警告	页内有http资源	把资源也升级到https
连接被重置	服务器时间不对	校准服务器系统时间

使用说明

使用方法

1. 输入域名（如example.com）。

2. 点击"检查SSL证书"。

3. 查看域名HTTPS连接状态和基本安全信息。

4. 查看证书相关的常见问题与解决办法。

说明：浏览器限制只能检测到HTTPS连接状态和部分信息，完整证书详情请使用命令行工具。