TLS 证书检查器
在浏览器开始警告访问者之前抓取过期或配置错误的证书 。
如何衡量
- 经验证的TLS握手方式与SNI设定给主机名决定证书是否可信.
- 如果验证失败, 第二次诊断握手会抓取所出示的证书, 这样你就可以看到原因, 而不标记它是否有效 。
- 剩余天数根据证书的notAfter值与当前时间(UTC)计算。
限制
- 只支持暗含的TLS端口;STARTTLS谈判没有进行.
- 信任根据检查主机的公用根店进行评价;私人CA显示为不信任.
- 从一个位置检查一次;一些服务器提供每个区域或客户端不同的证书.
解决问题
- 主机名不匹配
- 证书的名称不包括您连接的主机名 。 添加名称为SAN,或将主机名指向正确的服务器.
- 无信任链
- 可能缺少中间证书 。 服务全链,不只是叶子。
- 过期
- 更新证书 。 自动更新和监视器过期, 以免重现 。