SSL/TLS 数据报告

报告包含什么

每期报告统计网站协商的 TLS 版本、各 CA 的份额、证书有效期、过期证书、缺中间证书、HSTS 普及率、密钥类型和后量子密钥交换，每月用同样的方法测量，数字可以前后对比。

方法

• 样本：Tranco 列表的前 N 个域名。Tranco 综合多个流量排名、取 30 天平均，比单一来源更稳定，专为研究用途设计。
• 扫描方式：每月 1 日从 ssl.sh 服务器发起，对每个域名的 443 端口做一次 TLS 握手，用的是和 SSL 检查工具相同的检查引擎（快速模式：握手、解析证书、验证证书链和域名）。裸域名连不上或证书不匹配时，再试一次 www. 开头的域名。握手成功后对首页发一个 GET 请求读取 Strict-Transport-Security 头，不跟随跳转、不读取页面内容。
• 频率限制：最多 32 个并发、每秒最多 20 个新连接、单次超时 8 秒。
• 保存什么：只保存统计字段（TLS 版本、加密套件、签发者、密钥类型、有效期、各项检查结果），不保存证书原文、IP 地址和网页内容。
• 分母：TLS 版本按完成握手的域名计算；CA 份额和有效期按公共可信证书计算；过期比例、剩余天数和密钥类型按拿到证书的域名计算；链不完整按能判断证书链的域名计算；HSTS 按证书可信且域名匹配、并读到了首页响应的站点计算。
• 局限：只有一个观测点，CDN 在不同地区可能返回不同证书；Tranco 里有不少不提供网页的域名（如 CDN、API 域名），它们会计入连接错误。