SSL证书在线检测
TopSSL 支持在线实时检测。通过专业检测工具，可快速验证网站 SSL/TLS 证书的有效性、证书链完整性、签名算法、密钥强度以及跨平台浏览器的兼容性。
检测结果直接反映网站是否建立了合规、可信的 HTTPS 加密连接。对于运维与安全管理人员而言，在线检测是保障站点安全防护和合规审计的核心日常工作。
在进行线上检测与配置排查前，如果对基础证书概念尚不熟悉，可先参考 什么是SSL证书？ 与 免费SSL证书是什么？怎么申请？。
在线检测究竟在检测什么？
在线检测不仅是查看浏览器地址栏的“绿锁”或安全标识，而是对整个 PKI（公钥基础设施）信任链进行深入的校验。
工具通过模拟真实客户端发起 TLS 握手，捕获服务器返回的完整证书数据，并逐层完成以下验证：
- 证书链完整性穿透：验证“叶子证书 \(\rightarrow\) 中间 CA 证书 \(\rightarrow\) 根 CA 证书”的递进签名关系。
- 算法与加密强度：核查公钥密钥长度（如 RSA 是否 \(\ge 2048\) 位、ECDSA 是否 \(\ge P-256\)）及签名哈希算法。
- 吊销与状态响应：实时查询 OCSP 响应状态与证书吊销列表（CRL），评估 OCSP Stapling 配置是否异常。
- 域名覆盖范围：核对 Subject Alternative Name（SAN）字段是否完全覆盖当前访问的域名。
关于证书类型及应用范围的区别，可参阅 SSL证书类型怎么分？。
工程实践与易踩坑的部署细节
在实际运维中，即便检测工具给出了高得分，仍需警惕环境配置层面的隐藏隐患：
| 关注维度 | 技术风险与表现 | 实际运维建议 |
|---|---|---|
| 证书链补全 | 中间证书缺失，导致移动端（如 iOS、微信内嵌浏览器）报 NET::ERR_CERT_AUTHORITY_INVALID 错误。 | 使用导出的完整 PEM 包（含 Leaf + Intermediate）进行挂载。具体挂载步骤参考 SSL证书安装与部署。 |
| TLS 协议与套件策略 | 虽安装了新证书，但 Web 服务未禁用 TLS 1.0/1.1 或使用了 RC4、3DES 等弱密码套件。 | 强制最低 TLS 协议版本为 1.2，并确保 OpenSSL 版本保持更新。 |
| OCSP Stapling 配置 | 服务器未开启 OCSP 钉扎或无法访问 CA 的 OCSP 响应器，导致客户端连接卡顿或响应超时。 | 在 Nginx/Apache 中配置 ssl_stapling on，并指定正确的信任链文件。排查报错可查阅 如何修复SSL证书错误？。 |
部署完成后，若需要调整重定向规则，可参考 网站如何从HTTP更改为HTTPS？；若需要采购或升级证书，也可查阅 SSL证书选购指南。
常见问题 FAQ
Q：在线检测提示“证书链不完整”，但电脑上的 Chrome 却能正常打开？
A：这是因为部分桌面版 Chrome 或 Firefox 会利用本地缓存自动补全缺失的中间证书。但在移动端（如 iOS 浏览器、银行 App WebView、小程序环境）中，由于缺乏补全机制，会直接拒绝连接并提示证书不受信任。
Q：为什么检测提示“OCSP 响应过期”，但证书本身的有效期还很长？
A：OCSP Stapling 响应体本身存在独立的有效期（通常为数天）。如果 Web 服务器无法顺畅连接 CA 机构的 OCSP 响应器完成刷新，就会返回过期的 OCSP 状态。需检查服务器对外的 443/80 DNS 解析及网络畅通性。
Q：在线检测工具能检测出服务器私钥泄露风险吗？
A：不能。在线检测工具仅能获取服务器公开发布的公钥证书并进行合规性验证，私钥安全完全依赖于服务器本身的权限管理（如存储权限、访问控制及密钥轮换策略）。
京公网安备11010502031690号
网站经营企业工商营业执照
