查看域名证书信息最直接的方式, 是通过浏览器或者命令行工具来完成操作, 这里不需要额外安装任何软件。无论是为了确认SSL证书是不是已经到期了, 还是查看一下颁发机构是哪一个单位, 再或者是核实一下域名和证书之间的绑定关系到底是什么样子的, 以下提到的这些方法都可以在一分钟的时间之内全部完成。
浏览器快速查看（最常用）
1. 请先将目标网站的页面进行打开操作, 同时需要保证地址栏里显示的是一个锁形状的小图标, 这个代表着HTTPS。
2. 请点击锁形图标, 如果使用的是Chrome浏览器, 这个图标在地址栏的左侧。如果使用的是Firefox浏览器, 这个图标在地址栏的右侧。接下来选择“连接是安全的”, 或者“查看证书”。
3. 在证书的这一份详细信息的页面里面, 我们将会把下面这些非常核心的关键信息内容进行展示和处理工作。
这个证书是颁发给指定接收对象的, 具体来说就是那些和证书进行绑定关联的域名项目, 其特点是能够支持包含多个域名的完整列表内容, 这种类型通常也被称为是支持扩展验证名称的多域名模式。
发放这个证书的机构, 也就是那个英文叫做 Issuer 的玩意儿, 它是谁？比如说, 你可以去让·莱茨 encrypt（Let's Encrypt）那里拿, 也可以去 DigiCert 这里办, 又或者选择 GlobalSign,这都是可以的。
有效期是从签发日那天开始算的域名证书信息查看, 一直往后的起止日期都包括在里头。
序列号, 这也就是大家常说的serial number, 它是证书唯一的标识。
签名算法, 比如说 SHA-256 或者是 SHA-384。
命令行查看（适合批量运维）
请在终端里面进行操作。
openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -subject -issuer
这个命令会输出证书的生效日期, 也就是那个notBefore字段, 以及证书的到期日期, 就是那个notAfter字段, 同时还会显示主体和颁发者信息, 这些信息适合用于服务器端的快速巡检工作。
在线工具辅助查询
如果有人想要去查看完整的证书链, 或者需要验证OCSP吊销状态、CRL吊销状态, 那么可以访问一下属于那个域的DNS服务商所提供的那个管理后台。
举个例子吧, 就是在gname.xin这个域名的那个管理面板里面, 去进入那个叫作SSL证书的栏目, 这样的话就能一键去查看这个域名所关联的证书的完整信息、剩余的有效期以及那个自动续期的配置了。还有一部分内容的面板也是支持导出那些PEM格式的证书文件的,这样做的目的是用于本地存档。
关键信息解读与风险提示
高频疑难解答
证书显示"不受信任": 这一情况通常是因为证书链并不完整域名证书信息查看, 或者该证书是一个自签名证书, 所以需要在服务器的配置里面去补充那个中间证书文件。
多域名证书无法查看SAN列表: 浏览器只展示主要域名的信息, 没有办法直接看到其他的扩展内容, 如果想要知道完整的SAN集合情况, 就需要借助命令行工具来进行操作, 输入具体的指令就是使用那个叫做openssl的程序去读取x509格式的数据并以文本方式显示出来。
出现了到期时间显示异常这样的现象, 需要对系统的时区设置情况进行确认, 因为证书的日期信息是以UTC标准为依据的, 并且有一部分面板程序会尝试按照本地的时区来进行转换并且最终呈现出显示的视觉效果。
上面说的那些方法, 能够用到个人网站那里去, 企业运维那里去, 以及批量域名巡检的场景那里去, 按照步骤进行一步步的操作, 就可以完整地把域名证书信息给获取上来, 不需要借助第三方付费工具去帮忙。
