前段时间帮朋友排查网站问题，浏览器地址栏一直提示“不安全”，但朋友说自己已经部署SSL证书。我让他把域名发过来，用在线工具检测，证书确实安装了，但已经过期三个月。这种情况很常见，很多人以为证书部署完成就永久有效，实际上证书有有效期，配置细节稍有问题，浏览器就判定不安全。
浏览器是最简单的SSL证书状态检查工具。打开网站，点击地址栏左侧锁形图标或是“不安全”提示，Chrome弹出面板，查看证书颁发机构、有效期、使用者。锁图标灰色或者带红色斜杠，代表证书存在问题。点进证书详情，如果有效期截止时间已经过去，就是证书过期。这个方法不需要额外安装工具，但只能查看基础信息，证书链是否完整、中间证书有没有缺失，浏览器不会直接提示。
想要更全面检测，使用在线工具。Qualys SSL Labs的SSL Server Test是最常用的，输入域名等待一两分钟，生成完整报告，包含证书链、协议支持、加密套件、漏洞扫描，给出A到F安全评级。A级代表配置完善，B级以下一般存在需要修复的问题。工具免费，页面英文，但关键提示文字很直观，例如“Certificate is not trusted”“Chain issues”，一眼就能定位问题。
国内也有同类工具。MySSL.com中文界面，检测速度比SSL Labs更快，报告直接标注证书过期、证书链不完整、域名不匹配这类常见故障。站长工具、爱站网同样提供SSL检测入口，但功能比较基础，适合快速查看证书有效期和颁发机构。
轻量方案是使用openssl命令行。电脑终端输入 openssl s_client -connect 你的域名:443 -servername 你的域名，回车输出大量信息，重点查看Verify return code。返回0代表证书校验正常；非0值附带故障原因，例如“certificate has expired”或是“unable to get local issuer certificate”。适合熟悉命令行的用户，不用打开浏览器。
检测完成之后区分故障类型。证书过期最好识别，浏览器或是在线报告里直接标注有效期截止时间，操作就是续期。Let‘s Encrypt证书有效期90天，很多人忘记续期，或是自动续期脚本失效没有察觉。证书不受信任原因复杂，可能是自签名证书，也可能证书链不全。自签名证书自己生成，没有CA签名，浏览器不信任，对外网站不能使用。证书链不全是另一类常见故障，CA下发证书包含服务器证书和中间证书，很多人只上传服务器证书，遗漏中间证书，浏览器无法构建完整信任链路。在线报告提示“Chain issues: Incomplete”就是这个问题。
域名不匹配也经常出现。给www.example.com申请证书，访问不带www的example.com，证书校验失败。通配符证书只能覆盖一级子域名，不能支持多级子域名，*.example.com无法用于dev.blog.example.com这类地址。报告提示“Certificate does not match the domain”，就要重新申请适配域名的证书。
SSL状态不用频繁检测，但几个关键节点一定要检查。证书到期前一个月检测，确认自动续期正常执行。网站更换域名、新增子域名之后检测，确认域名和证书匹配。服务器迁移完成检测，确认证书文件同步迁移，配置文件内路径修改正确。平时不用持续监控，不要等到用户反馈无法访问才想起检查。
在线检测工具操作简单，输入域名点击检测即可。难点在于读懂报告并修复配置。大部分人遇到的无非过期、证书链不全、域名不匹配三类问题，对应的处理方案并不复杂。养成定期检查的习惯，远比故障爆发之后临时查找解决方案省心。