查看域名的证书信息的时候, 需要去区分两种不同的场景。这两种场景指的是域名注册证书, 也就是大家常说的WHOIS信息, 还有SSL或者TLS这个安全证书。
前者是用来确认域名到底归谁所有, 以及注册的日期是什么, 有效期又是多久, 后者是用来验证网站的通信加密状态的。下面将依照标准操作路径来一个一个进行详细说明。
域名注册证书（WHOIS）信息查看
这个域名注册证书, 它是由域名注册局, 也就是Registry这个机构来统一进行管理的。在这里面, 它会记录下来域名的注册人信息、注册的商家是谁、开始创建的具体时间、到什么时候过期失效, 还有DNS服务器这些信息。这些都属于那种核心的字段数据。具体的查看路径嘛, 可以参照下面的方式。
1. 注册商管理后台, 我们要登录到那个域名注册商所提供出来的账户管理页面里面去, 在那个叫做“域名管理”或者是“WHOIS信息”的那个栏目之中直接查看一下当前域名的完整的注册数据情况是怎么样子的, 这个途径里面的信息是可以实时进行同步更新的, 并且它的权威性也是非常高的。
2. 通过 WHOIS公共查询接口 可以进行查询, 这个接口是使用 ICANN 官方指定的 WHOIS 查询入口来作为方法的, 操作者只需要输入域名即可, 这样就可以获取到公开的注册信息了。
比如说, 你要查gname.xin这个域名, 你可以在WHOIS查询框里面, 把这个完整的域名填进去, 然后点击提交键, 这时候返回来的结果里头, 就会含有Registrar、Creation Date、Expiry Date、Name Servers这些关键字段。
不同后缀比如.com或者.cn或者.xin等等, 它们对应的Registry可能不太一样, 所以查询出来的结果格式也会有点小差别, 不过核心字段那还是一致的。
3. 命令行方式 , 用户可以在Linux或者macOS系统的终端里面, 去执行“whois 域名”这个命令, 这样就能直接获取到结构化的返回数据, 这种情况比较适合批量核查, 或者是自动化脚本的场景。
SSL/TLS安全证书查看
SSL证书这个玩意儿, 它是部署在那个服务器一端的, 它的用途, 就是用来建立那个什么样的加密通道, 说白了就是一堵防火墙, 它是数字证书的一种, 然后, 它和那个域名注册的信息, 这两个东西是完全互相独立的, 没啥关系, 那你要怎么查看? 具体的方法如下。
1. 浏览器端: 在访问了目标网站之后,你点击地址栏左侧那个像锁一样的图标域名证书信息查看, 然后选择查看证书选项, 这样你就可以看到颁发机构也就是CA的相关信息, 还有有效期Not Before和Not After的说明, 以及颁发给Subject CN的内容, 同时还能看到根证书链这些非常完整的信息。
2. 命令行工具: 使用 openssl s_client -connect 域名:443 这个命令, 输出的结果里面有一行叫做 subject= , 这一行对应的内容是证书主体, 还有一行叫做 issuer= , 这一行对应的内容是颁发机构, 另外还有 notBefore 和 notAfter 这两个字段, 这两个字段对应的是有效期的开始时间和结束时间。
3. 大家只要输入具体的那个域名, 就能拿到关于证书链是不是完整的消息, 还能看到用的什么协议版本, 比如像是TLS 1.2或者是TLS 1.3之类的, 而且如果有马上要过期的情况, 系统也会发出警报, 这个功能特别适合用来快速检查一下, 看看那些证书是不是快要到期了。
关键注意事项
自从ICANN隐私保护政策实施以来, 一部分注册商的WHOIS信息里面, 注册人姓名、地址这些字段默认显示的是"Redacted for Privacy"。这属于正常的隐私遮蔽操作, 不代表数据缺失, 需要通过注册商后台验证完整信息。
当我们在查看SSL证书的时候, 如果浏览器给弹出那个提示, 说证书是无效的, 又说连接不上去,那么这个时候域名证书信息查看, 应该把排查的重点先放上去。
首先, 要去看看这个证书是不是已经过了期了。其次, 要检查一下域名那里有没有出现拼写上犯错误的情况存在。最后,还要确认一下中间证书链部分大城新闻网, 看看是不是出现了缺失的现象。
域名过期之后, 如果用户没有及时去续费, 那么通常会存在一个长度为30到45天的赎回宽限期。一旦时间超出了这个限制, 该域名就会被系统予以释放, 同时相关的注册信息就会立即被清除掉。正因为存在这一系列情况, 所以大家应当建议把到期的提醒功能设置在到期前的30天这个时候。。
以上说的是关于怎么查看域名证书信息的一个完整的、标准的流程, 这个流程里面涵盖了两个非常关键的环节, 一个是去核对域名的注册信息, 另一个是去验证那个加密的证书对不对, 大家可以根据自己实际需要的情况, 把这两个步骤结合在一起用。
