omikuji 工具箱 文本与开发

SSL证书检测

一次查看服务器SSL/TLS证书的过期时间、颁发机构、SAN、证书链和TLS版本支持情况。

功能

  • 显示服务器证书距离过期的剩余天数、颁发机构、SAN、序列号和 SHA-256 指纹
  • 显示证书链(中间证书)，以及是否过期、域名不匹配、自签名、证书链不完整等校验结果
  • 实际连接服务器，逐一确认 TLS 1.0 / 1.1 / 1.2 / 1.3 是否启用
  • 除 HTTPS(443)外，也能检测 SMTPS(465)、IMAPS(993)、POP3S(995)和 8443。结果可通过链接分享

适用场景

防止证书忘记续期

查看剩余天数，确认自动续期是否在正常运行。

排查浏览器提示“不安全”的原因

分清是证书过期、域名不匹配，还是缺少中间证书。

迁移服务器或更换证书后核对

通过颁发机构和序列号，确认新证书是否已经生效。

确认旧版 TLS 是否已关闭

实际连接检查，禁用 TLS 1.0 / 1.1 的配置是否已生效。

隐私说明

证书由本站位于日本的检测服务器连接目标主机获取。输入的主机名和端口仅用于本次检测，服务器不会保存或记录日志，也不会发送给任何第三方服务。主机名只保存在网址 # 后面的部分(不会发送到服务器)和浏览器本地存储(localStorage)里。

常见问题

浏览器打开正常，却显示“无法验证证书链”

很可能是服务器没有发送中间证书。Chrome、Firefox 会自动去下载缺失的中间证书(AIA 补全)，所以不会报警；但 curl、旧版 Android 和部分App不会补全，就会连接失败。请把中间证书和服务器证书合并(fullchain)后再部署。

剩余天数以什么时间为准？

以检测时刻与证书有效期截止时间(notAfter，UTC)之差计算，按天向下取整。页面上显示的到期时间已换算成你浏览器所在的时区。

SAN 和 CN 有什么区别？

CN(通用名称)是证书里的名称字段，过去曾用于校验连接的域名。现在的浏览器只看 SAN(subjectAltName，使用者可选名称)，忽略 CN。用不在 SAN 列表里的主机名连接时，即使 CN 里写着该域名，也会提示“域名不匹配”。

能检测 25 或 587 端口(SMTP)吗？

不能。25 / 587 / 143 / 110 是先以明文连接、再通过 STARTTLS 切换到加密的方式，和一开始就用 TLS 监听的 443 / 465 / 993 / 995 / 8443 流程不同。想检查邮件服务器的证书，请用隐式 TLS 的 465(SMTPS)或 993(IMAPS)端口检测。

检测是从哪里发起的？

从本站位于日本的检测服务器直接连接目标主机。不同地区或不同 CDN 节点返回的证书可能不同，所以结果可能和你在本地看到的不一样。只允许中国大陆境内访问、屏蔽境外连接的站点，可能无法检测。

相关工具

我的IP 网速测试 IP地址查询 DNS查询 robots.txt 检测 SEO 检测 HTTP状态码大全 m3u8 在线播放检测 HTML转义 Base64 转换工具

检测证书

直接粘贴网址(如 https://example.com/path)也可以，会自动只取出主机名来检测。端口除 HTTPS(443)外，还支持 SMTPS(465)、IMAPS(993)、POP3S(995)和 8443。

结果怎么看

  • 已过期证书已超过有效期(notAfter)。浏览器会全面报警，请立即续期。Let's Encrypt 等免费证书有效期为 90 天，一般在剩余 30 天内自动续期。
  • 域名不匹配证书的 SAN 中不包含所连接的主机名。典型情况是只签了带 www 或不带 www 中的一个。
  • 自签名未经证书颁发机构(CA)、自己签发的证书。内网或测试环境没问题，但公开网站会被浏览器报“不安全”。
  • 证书链不完整服务器没有发送中间证书，或根证书不在信任列表中。有的浏览器能正常打开，但 curl、旧设备或部分App会连接失败。请把中间证书一起部署。
  • 剩余天数参考30 天以上没问题；只剩 7 天以内时，请检查自动续期是否失效。