SSL 证书健康检查指南
证书悄悄过期，用户访问直接红字警告，业务瞬间掉线。本指南用纯方法论，把"证书还好吗"变成可定期执行的检查清单，覆盖有效期、链路与告警。不绑定具体探测工具。
适用场景
- 多域名、多证书资产分散，容易漏续。
- 曾因证书过期导致访问中断。
- 需要把证书状态纳入日常巡检。
核心纪律
- 提前量要够：在到期前 30 天就告警，留续期缓冲。
- 全链路验证：不仅看证书本身，还要看中间证书是否齐全。
- 资产要全：把每个对外域名都登记，防止漏网。
- 告警到人：过期风险必须通知到责任人，不沉默。
步骤（标准流程）
- 建资产表：列出所有对外域名、对应证书与到期日。
- 取证书信息：对每个域名获取当前证书，读出签发者与有效期。
- 算剩余天数：用到期日减今天，得到剩余窗口。
- 定告警阈值：剩余 < 30 天警告，< 7 天紧急。
- 验链路：确认服务器下发了完整证书链，无缺失。
- 验协议：确认启用了安全协议版本，淘汰老旧版本。
- 验域名匹配：证书主体与访问域名一致，无错位。
- 验吊销状态：确认未被吊销。
- 登记结果：把每项状态写入巡检记录。
- 发通知：异常项推送给责任人，附续期指引。
- 排续期：对临期证书安排自动或人工续期。
- 复核：续期后重跑检查，确认状态回到正常。
示例
示例 1｜例行巡检
资产表 12 个域名，批量读取后 2 个剩余 20 天，自动升为警告并通知。
示例 2｜新上线站点
上线前检查，发现缺中间证书，补全后链路口碑恢复正常。
示例 3｜协议淘汰
扫描发现仍启用老旧协议版本，统一关闭后复测通过。
边界（踩过的坑）
- 只登记主域名，子域名漏续过期。
- 只看证书有效，没验中间证书，链路口碑差。
- 告警阈值太短，续期来不及。
- 告警发群里无人认领，过期才被发现。
- 老旧协议未关，被安全扫描扣分。
- 域名与证书主体不匹配，浏览器仍报不安全。
- 续期后不复核，新证书没生效。
自检清单
- [ ] 资产表是否覆盖所有对外域名？
- [ ] 是否计算了剩余天数？
- [ ] 告警阈值是否合理（30/7 天）？
- [ ] 证书链是否完整？
- [ ] 是否关闭老旧协议版本？
- [ ] 域名与证书是否匹配？
- [ ] 告警是否到人且有认领？
- [ ] 续期后是否复核？
