## 问题背景

![image.png](https://developer.qcloudimg.com/http-save/yehe-11735896/b91e45a6269c3d5b50ea09dbbb02ebec.png)证书过期、配置不当这两类问题，往往不是"没有监控"，而是"监控的方向不对"。

我遇到过几次类似场景：站点在浏览器里看着正常，用户也没反馈，但某个业务方调接口时突然报 TLS 握手失败；排查后发现证书链少了中间证书，只有部分客户端（特定 JDK 版本、某些安卓机）会失败。还有一次是证书到期日没有维护 Owner，续期流程挂在某个已经离职的同事名下。

这两类问题的共同点是：

- 出错时的影响面不确定，取决于客户端 TLS 栈，不是"全挂"或"全不挂"；
- 平时不会有明显症状，只有在变更、续期、迁移后才会暴露；
- 修复成本很低（续一张证、补一条中间证书），但发现成本很高。

所以更实际的做法不是上一个重量级的安全扫描平台，而是先建立一套**可重复执行、结果可读、能进 CI 的最小审计流程**，把"证书还剩多少天""TLS 版本开到几""链是否完整"这几个关键项固化成命令。

这篇内容面向网站管理员和安全工程师，给出可直接执行的检测步骤。所有命令都基于 OpenSSL 与 curl 的公开能力，不依赖特定云厂商功能；涉及腾讯云侧证书托管的部分只说明需要注意的前提，具体能力以官方文档为准。

## 环境与约束

在开始之前，先把边界讲清楚，否则命令跑出来的结论会误导人。

**客户端侧**

- OpenSSL 1.1.1 及以上（TLS 1.3 探测需要），`openssl version` 确认；
- curl 7.64+，`curl --version` 确认是否带 HTTP/2、OpenSSL 后端；
- Linux 用 `date -d`，macOS 用 `date -j -f`，脚本里要做分支。

**目标侧**

- 如果域名挂了 CDN 或负载均衡，`openssl s_client` 拿到的是**边缘节点证书**，不是源站证书。要审源站，必须用源站 IP 加 `-servername` 显式指定 SNI：
  ```bash
  openssl s_client -connect 10.0.0.10:443 -servername www.example.com
  ```
- 目标有 WAF 或 IP 白名单时，扫描可能被拦截，结果会出现"握手失败"的假象，先确认执行机 IP 在允许范围内。

**权限与合规**

- 只对自有资产或已获授权的域名执行检测；
- 涉及腾讯云 SSL 证书控制台时，需要对应账号的 CAM 权限；跨地域部署（如 CLB 实例在某个地域）时，证书与实例的绑定关系要按地域分别核对，证书托管的具体配额与计费策略以控制台和官方文档为准。

## 排查与方案设计

一次完整的 HTTPS 审计，我把它拆成五个判定项，每项都有明确的"合格/不合格"标准，而不是笼统地看安全评分：

| 判定项 | 检测手段 | 不合格的含义 |
| --- | --- | --- |
| 证书有效期 | `openssl x509 -enddate` | 即将过期或已过期，全量客户端失败 |
| 证书链完整性 | `openssl s_client` 输出的 Verify return code | 部分客户端握手失败 |
| 主机名匹配 | `-verify_hostname` | 证书与域名不符，浏览器直接拦截 |
| 协议版本 | 分别试 `-tls1`、`-tls1_1`、`-tls1_2`、`-tls1_3` | 残留 TLS 1.0/1.1，合规风险 |
| 安全头 | `curl -I` 取响应头 | 缺 HSTS 等，降级攻击面 |

设计上刻意不用扫描器一步到位，原因是：判断脚本化之后才能进 CI、才能做趋势对比；而且命令行输出就是证据，出问题时不至于只拿到一个分数。

## 实施步骤

### 第一步：单域名快速体检

先手工跑一次，确认输出字段。

```bash
# 1) 证书基础信息
openssl s_client -connect www.example.com:443 -servername www.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates -serial

# 2) 主机名校验（失败会打印 Hostname mismatch）
openssl s_client -connect www.example.com:443 -servername www.example.com \
  -verify_hostname www.example.com -verify_return_error </dev/null 2>&1 | grep -E "Verify return code|Hostname"

# 3) TLS 版本探测
for v in tls1 tls1_1 tls1_2 tls1_3; do
  printf "%-8s " "$v"
  echo | openssl s_client -connect www.example.com:443 -servername www.example.com -"$v" 2>&1 \
    | grep -m1 -E "^New, |handshake failure|no protocols available" || echo "no output"
done
```

注意 `-tls1` 在部分新版本 OpenSSL 中默认已被禁用，输出可能是 `no protocols available`，这本身就说明服务端没有协商成功，属于期望结果。

### 第二步：写成批量脚本

单点检查没有意义，需要覆盖所有对外域名。下面的脚本从文件读域名列表，输出结构化结果。

```bash
#!/usr/bin/env bash
# check_cert.sh <hosts.txt> ; WARN_DAYS 默认 30
set -uo pipefail
HOSTS_FILE="${1:?usage: check_cert.sh <hosts.txt>}"
WARN_DAYS="${WARN_DAYS:-30}"
EXIT=0

to_epoch() {
  # GNU date 优先，失败回退到 BSD date
  date -d "$1" +%s 2>/dev/null || date -j -f "%b %d %H:%M:%S %Y %Z" "$1" +%s 2>/dev/null
}

while read -r host; do
  [ -z "$host" ] && continue
  case "$host" in \#*) continue ;; esac

  end_date=$(echo | openssl s_client -connect "${host}:443" -servername "$host" 2>/dev/null \
    | openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2)

  if [ -z "$end_date" ]; then
    echo "FAIL    ${host}  无法完成握手或未取到证书"
    EXIT=1
    continue
  fi

  end_ts=$(to_epoch "$end_date")
  now_ts=$(date +%s)
  days=$(( (end_ts - now_ts) / 86400 ))

  if   [ "$days" -lt 0 ];              then status="EXPIRED"
  elif [ "$days" -lt "$WARN_DAYS" ];   then status="WARN   "; EXIT=1
  else                                      status="OK     "
  fi

  printf "%s %-32s 剩余 %4d 天  到期 %s\n" "$status" "$host" "$days" "$end_date"
done < "$HOSTS_FILE"

exit "$EXIT"
```

几个刻意的设定：

- 任何"取不到证书"的情况直接判 FAIL，因为对证书检测来说，握手失败和证书过期属于同一等级的告警，都不该被静默吞掉；
- `WARN_DAYS` 用环境变量覆盖，测试环境设 7，生产设 30；
- 退出码非 0，方便接 CI 或定时任务。

### 第三步：检查链完整性与安全头

```bash
# 完整链输出，重点看是否出现 "unable to get local issuer certificate"
openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts </dev/null 2>&1 \
  | grep -E "Certificate chain|^ *[0-9] s:|Verify return code"

# HSTS 与重定向
curl -sSI https://www.example.com | grep -i -E "^strict-transport-security|^location"
curl -sS -o /dev/null -w "HTTP->HTTPS 状态: %{http_code}\n" http://www.example.com
```

`Verify return code: 0 (ok)` 只说明本地信任库能验证通过，**不代表中间证书齐全**——如果执行机的 OpenSSL 恰好缓存或内置了该中间证书，本地会显示 ok，而客户端仍然可能失败。所以核对中间证书更稳的方式是看 `-showcerts` 输出的证书条数，或在干净的容器里跑（例如 `openssl:1.1.1` 官方镜像），避免本地信任库干扰。

## 关键配置与代码

**在 CI 中作为门禁运行**

```yaml
# .gitlab-ci.yml 片段，其他 CI 同理
cert-check:
  image: alpine:3.19
  before_script:
    - apk add --no-cache openssl bash
  script:
    - bash scripts/check_cert.sh ci-domains.txt
  rules:
    - if: '$CI_PIPELINE_SOURCE == "schedule"'
```

**服务端侧应达到的最小基线**（以 Nginx 为例，仅为示例配置，实际密码套件需按业务客户端兼容性调整）：

```nginx
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_certificate     /etc/nginx/certs/fullchain.pem;   # 必须含中间证书
ssl_certificate_key /etc/nginx/certs/privkey.pem;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
```

`fullchain.pem` 这个文件名不是随意起的——很多"证书链不完整"事故就是把只有叶证书的 `cert.pem` 配了上去。

**如果使用腾讯云托管证书**：证书在 SSL 证书控制台统一管理，部署到 CLB / CDN / WAF 时按对应产品的操作路径绑定。需要确认的前提是：账号具备对应产品的 CAM 权限、实例所在地域与控制台地域一致、绑定的域名已完成归属验证。证书到期提醒与自动续期能力以控制台实际显示和官方文档为准，不建议把告警完全依赖单一渠道，命令行检测可以作为兜底。

## 验证与效果

在测试域名上故意做一次负向验证，确认脚本真能报出来，而不是"永远 OK"：

1. 找一个使用自签证书的测试机，跑 `check_cert.sh`，应输出 `FAIL` 并以非 0 退出；
2. 在测试环境的 Nginx 上只配叶证书，`-showcerts` 输出条数变少，`Verify return code` 在干净容器里应为非 0；
3. 把域名指向一个只开 TLS 1.2 的实例，TLS 版本探测中 `tls1`、`tls1_1` 应输出 `no protocols available`。

通过后的典型输出：

```
OK      www.example.com                  剩余  187 天  到期 Mar 12 12:00:00 2026 GMT
WARN    api.example.com                  剩余   21 天  到期 Sep 28 12:00:00 2025 GMT
FAIL    old.example.com                  无法完成握手或未取到证书
```

这套流程的收益不在"发现了一个高危漏洞"，而在于把证书这件事从"靠人记"变成"每次流水线都跑一遍"，剩下的时间和精力可以放在真正需要判断的地方。

## 风险和避坑

- **CDN 后面的源站会被误判**。从公网扫到的是边缘证书，源站证书过期不会体现在这个结果里。源站检测要用内网地址加 `-servername`，且注意别扫到 WAF 的限流阈值。
- **本地信任库会掩盖链问题**。同一条命令在运维笔记本上 OK、在 Alpine 容器里失败，非常常见。结论以干净环境为准。
- **扫描频率与业务高峰**。批量扫几十个域名对目标几乎没有压力，但如果加上密码套件枚举（testssl.sh 那类工具会发大量握手），建议避开业务高峰，并对单 IP 做并发限制。
- **不要用检测结果直接触发自动续期**，两者应当是分离的：检测负责告警，续期走 ACME 或云平台流程，避免检测脚本拿到证书私钥写入权限。
- **安全头改动有兼容成本**。加 `includeSubDomains` 之前先确认所有子域都已支持 HTTPS，否则会把子域一起锁死；`max-age` 建议从较小值起逐步调大。

## 可扩展方向

- **接告警**：把脚本退出码和输出接到现有的告警通道，按 `WARN` / `EXPIRED` 分级，避免所有问题一个优先级。
- **加证书指纹比对**：把 `-serial` 和 `-fingerprint` 落库，用于发现"证书被意外替换"这类变更事故，比看有效期更敏感。
- **扩展到 mTLS 与内部服务**：内部 gRPC / 双向 TLS 的过期问题往往比公网更隐蔽，同一套脚本改端口和 `-cert` 参数即可复用。
- **引入 testssl.sh 做深度扫描**：仅在变更窗口或季度审计时执行，把它的 `--jsonfile` 输出与上一期做 diff，减少人工读长报告的成本。
- **合规映射**：把 TLS 版本、密码套件的结果映射到等保或内部基线的具体条目，让审计输出能直接作为证据留档。

另外，我建议定期给网站做一次诊断检查，及时发现问题，尽早解决处理，这里推荐一款我经常使用的在线诊断工具（**实用工具吧-网站综合诊断** ），浏览器打开即可使用，免费免注册，方便快捷。
![image.png](https://developer.qcloudimg.com/http-save/yehe-11735896/43a2ccf13d585377f2a7b7106948d37a.png)

## 总结

SSL 证书检测真正的难点不在"能不能扫出来"，而在"结论是否可信、是否能持续跑"。用 OpenSSL 和 curl 拼出的这套流程，价值在于每一步都能解释清楚：拿到的是谁的证书、在哪个环境验的、失败了意味着什么。

建议先在测试环境核对权限、地域与版本（尤其是 OpenSSL 和 curl 的版本差异），用自签证书和缺中间证书的实例做一轮负向验证，确认告警能正常触发后，再逐步应用到生产环境。等这套命令能稳定跑在定时任务里，证书过期这类问题基本就从"事故"降级成了"待办事项"。

我遇到过几次类似场景：站点在浏览器里看着正常，用户也没反馈，但某个业务方调接口时突然报 TLS 握手失败；排查后发现证书链少了中间证书，只有部分客户端（特定 JDK 版本、某些安卓机）会失败。还有一次是证书到期日没有维护 Owner，续期流程挂在某个已经离职的同事名下。

别等证书过期才发现：一套可复现的 HTTPS 安全审计流程

SSL 证书检测真正的难点不在"能不能扫出来"，而在"结论是否可信、是否能持续跑"。用 OpenSSL 和 curl 拼出的这套流程，价值在于每一步都能解释清楚：拿到的是谁的证书、在哪个环境验的、失败了意味着什么。

人工智能

建立可重复的HTTPS证书审计流程，用OpenSSL与curl命令检测证书有效期、链完整性、TLS版本及安全头，输出结构化结果并接入CI。脚本化检查解决"监控方向不对"问题，可识别中间证书缺失、到期日无Owner等隐蔽故障，支持批量域名扫描、告警分级，建议配合自签证书负向验证确保可靠性。

负载均衡

代码解释

SSL 证书

云托管

容器

Linux

MacOS

Nginx

2026上云采购 | AI焕新·智启新局

热销域名限时优惠，新客首年免费！


domain

CDN免费试用


文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

别等证书过期才发现：一套可复现的 HTTPS 安全审计流程-腾讯云开发者社区-腾讯云

别等证书过期才发现：一套可复现的 HTTPS 安全审计流程

别等证书过期才发现：一套可复现的 HTTPS 安全审计流程

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐