# SSL 证书检查：在线检测 HTTPS 证书和 TLS 配置

> 输入域名，检查证书链、到期时间、域名匹配、TLS 1.0–1.3 支持、HSTS、CAA 和 OCSP stapling，并给出评级。

Source: https://ssl.sh/zh/tools/ssl-checker/
Last updated: 2026-11-10

输入域名，几秒钟查清证书、证书链、TLS 版本和安全响应头。

SSL 证书检查工具用来测试任意公网主机的 HTTPS 配置：输入 `example.com` 这样的域名（直接粘贴网址也行），点 **检查 SSL**。我们的服务器会像浏览器一样发起连接，读取服务器发送的[证书链](https://ssl.sh/zh/glossary/certificate-chain/)，列出发现的所有问题，并给出 A+ 到 F 的评级。

## 怎么用

1. 输入域名、主机名或网址。会自动去掉协议和路径，比如 `https://www.example.com/login` 检查的是 `www.example.com`。
2. 服务不在 443 端口时，修改端口或写成 `host:port`。
3. 点 **检查 SSL**，在结果页查看每一项，问题项都有解释链接。

终端里一条命令即可：

```bash
curl ssl.sh/example.com
```

## 检查哪些内容

- **证书**：主体、[SAN](https://ssl.sh/zh/glossary/san/)、签发者、有效期和剩余天数、密钥类型、签名算法。
- **证书链**：服务器发送的顺序、链是否完整、是否指向主流根证书库信任的根。
- **域名匹配**：你输入的域名是否在证书的 SAN 里。浏览器早就不看 CN 了。
- **协议**：TLS 1.0、1.1、1.2、1.3 分别是否接受，以及实际协商出的密码套件和密钥交换组。
- **响应头和 DNS**：HSTS 响应头、CAA 记录、是否做了 OCSP stapling。

## 怎么看结果

先处理红色问题：证书过期、域名不匹配、证书链不受信任，这些会让所有访客打不开网站。再处理警告：[证书链不完整](https://ssl.sh/zh/errors/missing-intermediate-certificate/)会让很多非浏览器客户端报错；TLS 1.0/1.1 早在 2021 年就被 RFC 8996 弃用，等保测评和各类安全扫描也会把它们列为问题。

证书快到期就尽快续期，并且尽早做自动化：2026 年 3 月 15 日起公开证书最长有效期已从 398 天降到 200 天，到 2029 年会降到 47 天。[有效期计算器](https://ssl.sh/zh/tools/validity-calculator/)可以算出任意签发日期对应的上限。

## 小提示

- `www` 和不带 `www` 的域名都要查，它们经常用的不是同一张证书。
- 用宝塔、阿里云、腾讯云等控制台换证书后，如果检查结果还是旧证书，多半是服务没有重载，或者 CDN 上的证书没有一起更新。
- 一次查很多域名，用[批量 SSL 检查](https://ssl.sh/zh/tools/bulk-ssl-checker/)。


## FAQ

**评级是什么意思？**

从 A+（没有问题，TLS 配置现代且开启了 HSTS）到 F（会让网站打不开的严重问题，比如证书过期）。T 表示证书链不到公共信任的根证书。问题列表里会说明每一项扣分原因。

**浏览器里网站正常，这里却报错，为什么？**

最常见的是缺中间证书。电脑上的浏览器会缓存或自动下载缺失的中间证书，但 curl、Java、Python、安卓 App、小程序后端等很多客户端不会。这里显示的是服务器实际发送的证书链，请把服务器配置成发送完整证书链。

**能检查 443 以外的端口吗？**

可以，在端口框里填，或者直接写 host:port。邮件服务器这类先明文再升级 TLS 的服务，请用 [STARTTLS 检查](tool:starttls-checker)。

**检查会用到哪些信息？**

只用公开信息：任何访客都能拿到的证书链和 HTTP 响应头，以及 CAA 等公开 DNS 记录。不需要登录你的服务器，也不需要装任何东西。