SSL 证书与 HTTPS 安全指南

从证书链理解到到期管理——HTTPS 安全自查方法。

SSL 证书是什么

SSL/TLS 证书是网站身份与加密连接的凭证：包含域名（SAN）、有效期、签发机构与公钥指纹。浏览器通过证书链验证其可信度——从叶子证书到中间证书再到受信任的根。

证书到期未续期、SAN 缺少某个子域名、中间证书缺失导致链不完整、使用自签名证书、混合内容（HTTPS 页面加载 HTTP 资源）。证书到期是网站可用性风险，也是搜索引擎信任信号的一部分。

通过真实 TLS 握手获取证书链：查看有效期与剩余天数、签发机构、SAN 列表与指纹。注意：不能只 ping 域名——必须检查 443 端口实际返回的证书。

定期握手并记录证书指纹。指纹变化 = 证书被更换：签发机构不变的更换通常是例行续期；签发机构同时变化，则更值得注意——可能伴随托管迁移或证书供应商切换。

剩余天数 <30 天应安排续期，<14 天属于高风险窗口。自动化签发（Let's Encrypt 等）通常 90 天一轮；组织型证书（OV/EV）有效期更长，但更换流程更慢。

启用 HSTS、配置 Content-Security-Policy、设置 X-Frame-Options 与 X-Content-Type-Options、确保跳转链全程 HTTPS。这些头部可以在 HTTP 探测中直接检查。