SSL/TLS 工具
检查服务器证书、生成 CSR、解析证书、生成 Nginx 等服务器的 TLS 配置。涉及私钥的工具完全在浏览器里运行。
检查
SSL 证书检查
输入域名，检查证书链、到期时间、域名匹配、TLS 1.0–1.3 支持、HSTS、CAA 和 OCSP stapling，并给出评级。
批量 SSL 检查
一次检查最多 50 个域名的 SSL 证书：评级、签发者、到期日、剩余天数、TLS 版本，结果可按剩余天数排序并导出 CSV。
STARTTLS 检查
检查 SMTP 25/587、IMAP 143、POP3 110、FTP、XMPP、PostgreSQL 的 STARTTLS 证书和协议，也支持 465/993/995。
CT 日志查询
在证书透明度日志里搜索域名，列出为它和子域名签发过的所有公开信任证书，含签发者、有效期和 SAN，发现异常签发。
证书链补全
按正确顺序获取域名的站点证书和中间证书，下载 fullchain.pem、cert.pem、chain.pem，解决证书链不完整导致的报错。
CAA 记录查询
查询域名的 CAA 记录（包括从上级域名继承的记录），看清哪些 CA 可以签发普通证书和通配符证书，排查 CAA 导致的签发失败。
HSTS 检查
检查网站的 Strict-Transport-Security 响应头：max-age、includeSubDomains、preload，以及能否加入 HSTS 预加载列表。
混合内容扫描
扫描 HTTPS 页面里仍通过 http:// 加载的脚本、样式、图片、iframe 和表单，区分会被浏览器拦截的主动内容。
生成
解码与转换
证书解析
在浏览器里解析 X.509 证书：主体、签发者、SAN、有效期、公钥、扩展、SCT、指纹和 SPKI pin，粘贴整条链可检查顺序。
浏览器本地运行CSR 解析
在浏览器里解析并校验 CSR：主体、SAN、密钥类型和长度、签名算法、请求的扩展，提交给 CA 之前发现常见错误。
浏览器本地运行证书格式转换
在浏览器里转换证书格式：PEM 转 DER、DER 转 PEM、PEM 加私钥转 PFX、PFX 转 PEM、P7B 转 PEM、CRT 转 PEM，私钥不上传。
浏览器本地运行私钥匹配检查
比较公钥，检查证书、CSR 和私钥是否属于同一密钥对，全程在浏览器本地完成，解决 nginx key values mismatch。
浏览器本地运行
配置
TLS 配置生成
为 Nginx、Apache、Caddy、HAProxy、IIS、Tomcat、Node.js、Go、Postfix 等 12 种服务器生成安全的 TLS 配置。
浏览器本地运行CAA 记录生成
生成 CAA 解析记录：选择允许签发的 CA、通配符规则、iodef 和 accounturi，复制 BIND、Cloudflare、阿里云解析或 DNSPod 的填写内容。
浏览器本地运行TLSA 记录生成
根据证书生成 DANE TLSA 记录：选择 usage、selector、matching（默认 3 1 1），得到 _25._tcp.mail.example.com 记录。
浏览器本地运行密码套件查询
按 IANA 名称、OpenSSL 名称或十六进制代码查询 TLS 密码套件，查看密钥交换、认证、加密、MAC、适用版本和安全评级。
有效期计算器
按 CA/B 论坛 SC-081 投票（398、200、100、47 天）计算任意签发日期的最长有效期、到期日和建议续期日，导出 .ics 日历提醒。
浏览器本地运行
ssl.sh 提供 20 个免费 SSL/TLS 工具，分两类。检查类由我们的服务器像浏览器一样连接你填的主机，报告证书链、TLS 版本、HSTS、CAA 等情况。生成、解码和转换类完全在浏览器里运行：CSR 和私钥用 WebCrypto 在本地生成，粘贴的证书也在本地解析，私密内容不会离开你的电脑。
所有检查也可以在终端里用 curl ssl.sh/example.com 完成，或者通过 JSON 接口调用。需要每天检查的证书，可以写定时脚本调用 JSON 接口；能自动检查并在到期前提醒的 ssl.sh 证书监控还在开发中。
常见问题
这些工具收费吗？
全部免费，不用注册。批量检查每次最多 50 个主机；需要每天自动检查，可以写定时脚本调用 JSON 接口。ssl.sh 证书监控还在开发中。
你们能看到我的私钥吗？
看不到。CSR 生成器、自签名证书生成器、证书格式转换、私钥匹配这些工具都是在你的浏览器里用 WebCrypto 和 JavaScript 运行的，粘贴的私钥和证书不会发到 ssl.sh。
哪些工具需要连服务器？
各种检查工具（SSL 检查、批量检查、STARTTLS 检查、CT 查询、证书链补全、CAA 和 HSTS 检查、混合内容扫描）需要由我们的服务器去连接目标主机或查询 DNS、CT 日志，只会拿到任何访客都能看到的公开信息。