技能介绍

证书链出问题时，排查成本在哪里

浏览器提示「此站点的证书无效」，通常不是叶子证书本身的错。证书链由终端实体证书、中间 CA 证书和根证书逐级构成，任何一环缺失、签名算法过弱或中间证书临近过期，握手都会在客户端校验阶段失败。运维人员往往只看到浏览器给的一条模糊警告，却要手动打开多个标签页去比对有效期、签名算法和信任锚，这个过程中很容易漏掉真正的断点。

弱算法和证书透明度（CT）合规是另外两类容易被忽略的问题。前者包括 SHA-1 签名、RSA 密钥长度不足、已废弃的 TLS 版本协商；后者要求证书被签发后公开记录在 CT 日志中，若日志中查不到记录，部分客户端会拒绝信任。

它的分析方式

用 openssl s_client 直连目标主机，抓取服务端实际下发的完整证书链，而不是只看你手上那份文件
逐张解析链上证书的签名算法、密钥长度与起止有效期，标出弱算法和即将过期的中间证书
通过 crt.sh Certificate Transparency API 查询目标证书的 CT 日志记录，判断是否存在透明度合规问题

适用边界

这类分析是一次性诊断动作，不等同于持续监控，也不会替你修复链配置——补全中间证书、更换签名算法仍需回到 nginx、ALB 或 CDN 的证书配置里操作。crt.sh 的查询结果依赖其已索引的 CT 日志集合，冷门日志或刚签发的证书可能存在延迟。若目标是内网自签 CA 或私有 PKI，CT 查询通常没有意义，此时应关注根证书是否导入客户端信任库。