SSL/TLS 证书有效期与配置合规巡检
这个 skill 解决什么
证书过期是站点最隐蔽的"信任中断"——某天早上用户打开站点被告知"不安全/已过期"，订单与收录
一夜归零。还有更隐蔽的：用了早已被攻破的 SHA1 签名、RSA 1024 弱密钥、SAN 没覆盖子域名。
把证书文本喂进来，一次性看清 6 大维度的证书级风险，并拿到处置建议。
何时使用
- 定期对全量域名证书做到期巡检（建议 <30 天预警）。
- 更换证书前后复核算法/密钥强度是否达标。
- 安全合规审计需要出具"证书基线体检"交付物。
输入格式（openssl 文本，纯文本）
# 本地证书
openssl x509 -in cert.pem -noout -text
# 远程证书（取服务端证书文本）
echo | openssl s_client -connect example.com:443 2>/dev/null | openssl x509 -noout -text
将上面命令的完整输出粘贴进来即可。
用法
python scripts/check.py assets/sample_cert.txt
python scripts/check.py cert.txt --format json --output report.json
cat cert.txt | python scripts/check.py -
输出示例（节选）
- [CRITICAL] 证书已过期（Not After 早于当前日期）
- [CRITICAL] 签名算法为 SHA1（已被攻破，需换 SHA256+）
- [HIGH] RSA 公钥长度 < 2048 位
- [MEDIUM] SAN 未覆盖 www 子域
- 附合规评分与到期日历建议
审计维度（深度说明见 references/methodology.md）
有效期剩余 · 过期状态 · 签名算法强度 · 公钥长度 · SAN 覆盖 · TLS 协议版本。
合规与边界
- 本工具为防御性的证书文本审计，仅解析你主动提供的文本；默认不发起任何网络请求。
- 所有分析在本地完成，不上传任何数据，适合含敏感拓扑的内网环境。
- 如需远程取证书再审计，请在你的终端执行上面的 openssl 命令后粘贴输出，由你掌控数据边界。
