SSL证书审计器

要解决的问题

TLS/SSL 配置错误往往不会立刻暴露。证书链缺失中间证书、HSTS 头缺失、OCSP 装订未启用，这些问题在浏览器里可能只是偶尔的小锁警告，但在合规审计或自动化巡检中会直接变成风险项。人工用浏览器逐个检查显然不可行，需要一套能批量扫描、结果可比较的审计手段。

核心能力

这个技能基于 sslyze 这个快速且强大的 SSL/TLS 扫描工具与 Python 库，并结合 SSL Labs API v3 的能力，对目标服务器的证书与协议配置做系统化检查。核心检查项包括：

• 证书链有效性：验证证书链是否完整，中间证书是否缺失。
• HSTS 响应头：检查服务器是否返回了正确的 Strict-Transport-Security 头。
• OCSP 装订状态：确认 OCSP Stapling 是否启用并正常工作。
• 证书透明度日志验证：核查证书是否已提交到 CT 日志，保证签发过程可追溯。

由于 sslyze 提供了完整的 Python API，扫描逻辑可以直接嵌入到 CI/CD 流水线中，对服务器做持续的合规性检查，而不需要每次手工登录执行命令。

适用边界与注意点

这个技能聚焦于证书与 TLS 配置层面的审计，不替代完整的漏洞扫描或渗透测试。对于复杂的多域名、多端口场景，需要自行组织扫描范围。sslyze 上游项目对扫描速率和目标服务器的影响有相应约定，在批量扫描生产环境时应控制并发，避免对目标造成压力。