TLS 端点部署前弱点探测

TLS 配置错误往往到上线那一刻或事故发生后才暴露：某次发布把服务暴露到公网后才发现还开着 SSLv3 或 TLS 1.0，证书链缺中间证书，弱密码套件仍在协商，或者证书只剩几天就过期。这类问题排查成本高，修复成本却很低，前提是能在部署前跑一次完整的预检。

这个技能解决什么问题

把 testssl.sh 的检查流程固化成部署前的一道门槛，在三个时间点上尤其有用：

• 新版本上线前：确认对外端点的协议版本与密码套件没有回退到弱配置；
• 证书续期前后：核对有效期、证书链完整性和签发信息是否与预期一致；
• 事故复盘时：快速复现当时的握手状态，判断是配置漂移还是回源链路引入的问题。

它如何工作

核心动作是对目标主机执行一次覆盖协议、密码套件、证书三个维度的 TLS 预检，而不是只跑一句 openssl s_client。testssl.sh 会枚举端点实际协商出的协议版本、可接受的密码套件并逐项给出弱项提示，同时检查证书有效期、签发链、签名算法等字段。

关键步骤大致是：准备 shell 环境和 OpenSSL 兼容的网络工具；在变更窗口内对目标 endpoint 执行探测；将结果与基线对比，重点看已禁用项是否失效、弱套件是否重新出现、证书链是否完整。

适用边界与注意点

它只探测公网可见的端点，无法看到 SSL 卸载点之后内网侧的原始配置。如果前置代理、CDN 或负载均衡会改写 TLS 设置，探测结果反映的是边缘层行为，回源侧仍需单独确认。另外，SKILL.md 中未能自动提取出来源项目的安装与使用说明，在将其接入敏感流程前，应先审阅上游项目再决定是否执行。