SSL证书到期查询这种事儿, 在网站运营和安全维护工作中, 算是一种使用频率特别高的操作。咱们接下来要把具体的查询方法、怎么判断有效期, 还有到了期应该怎么处理, 从这三个方面一个一个来说清楚, 把完整的操作指引给大家提供出来。
SSL证书到期查询的3种方法
浏览器直接查看
以Chrome浏览器作为例子来详细说明具体做法, 用户首先需要访问那些想要检查的目标网站页面, 接着要点击位于浏览器地址栏里面的那个像小锁一样的图标, 然后在出现的菜单里面去选择写着“连接是安全的”这个选项, 完成上述操作后, 还需要继续点击“证书有效”这样的字样, 最后才能查看到标记为“到期时间”的那个字段的信息。
至于Firefox浏览器和Edge浏览器的操作方法, 其大致的路径与上面说的是基本一致的, 都可以在证书的详细信息详情中找到直接读取notAfter即到期日期的功能。
命令行查询（适用于服务器运维）
请在终端里执行操作。
openssl s_client -connect 你的域名:443 -showcerts 2>/dev/null | openssl x509 -noout -dates
输出内容里面的那个notBefore, 它代表的是签发时候的日期, 然后呢, notAfter这个字段, 它表示的是到哪个时间过期截止, 整个时间的精度都要保持到位, 精确到小时、分钟还有秒钟都可以。
在线查询平台
你可以访问在线的SSL证书查询工具, 直接输入域名, 就能返回证书链、有效期、颁发机构等完整的字段信息。
现在人们可以通过gz88.cn这些在线服务平台来免费执行查询操作, 系统还支持批量域名的检测工作, 同时也支持配置好到期以后的提醒功能, 这一套功能非常适合运维团队对部署在多台服务器上的证书状态进行统一化的监控与管理。
如何判断证书是否即将到期
当剩余有效期小于或者等于三十天的时候, 系统会进入预警阶段, 此时应当启动续签流程。
当剩余的有效期小于或等于七天这个具体数值的时候, 你就需要去进行紧急处理这件事, 具体的做法就是马上去更换或者是直接去续签。
证书已经过期了。网站会弹出“不安全”的警告内容。用户的加密连接会被中断掉。需要马上进行更换操作。
证书到期后的处理步骤
1. 你需要确认这个证书的颁发类型是哪一种, 因为DV证书、 OV证书以及EV证书的续签流程是完全不同的。如果是OV证书或者是EV证书的话, 那么你就需要重新提交你公司的那些资质材料去接受审核, 整个过程大约要花5到15个工作日, 而DV证书通常是可以在线快速签发出来的。
2. 你可以联系原来的CA, 也可以换个CA。如果原来那个CA的服务合约到了期限, 或者你需要把证书的等级调一调, 就能够更换颁发的那个机构去。弄了新的证书之后, 并不会对域名的解析产生不好影响。
3. 进行新证书部署的操作, 方式是走服务器管理后台或者用CDN平台这个渠道, 把旧的证书文件给替换掉, 接着重新启动Nginx和Apache这类相关的服务, 从而让新证书能够生效。
4. 验证生效这件事要这样做, 就是用上面讲的第三种方法加上另外两种方法, 一起用来做重新查询的操作, 然后来确认新的证书的有效期是不是已经更新了, 还有就是中间证书有没有缺失的情况存在。
预防与长效管理建议
建立证书台账，记录每个域名的颁发机构、到期日、管理负责人
当配置的有效期到期时需要自动发送提醒, 这里建议在即将过期前30天、15天以及7天的这三个时间点分别进行提醒。
建议优先去选择那种支持自动续签证书的方案, 这样就能够有效降低因为人工方面出现忘性而导致站点中断的风险。
在多域名场景或者多站点情况之下, 使用批量监控工具进行统一的巡检操作, 以此来避免出现有遗漏的事情。
上面所提到的这些办法, 都涵盖了对个人站点、企业网站以及批量进行域名管理时的核心查询需求和处理需求。大家按照相关的步骤去操作的话, 就可以把SSL证书到期情况的查询和后续的相应处理问题完整解决掉。
