全绿，我以为安全了

第一次跑 SSL 检测，各项都正常，我顺手在周报里写了句「网站安全合规」。后来被问了才知道，这份报告跟「安全」差得很远。

它说明的是：证书有效、配置正确、握手能过。仅此而已。那次之后我在周报里改了措辞，不再写「安全合规」。

它具体查什么

证书是谁签发的、发给哪个域名、覆盖了哪些域名、什么时候到期。签发者是不是受信任的 CA，也会影响浏览器是否报警。

证书链是不是完整，中间证书有没有缺。

协商出来的是哪个 TLS 版本、用了什么加密套件，握手能不能在各地完成。

在宝塔拨测的 SSL 检测里，这些是并列给出的。多地区多运营商节点分别发起连接，还能看到握手耗时的分布。

SSL 检测：证书有效期、证书链与 TLS 信息

SSL 检测：证书有效期、证书链与 TLS 信息

它查不到什么

应用层漏洞、SQL 注入、越权，这些跟证书没关系。

弱口令、默认后台、暴露的管理端口，也不在检测范围里。

服务器补丁、依赖组件的已知漏洞、配置错误，同样查不到。

证书配好，只代表「传输这一段」是加密且可信的，不代表「应用本身」没问题。加密只保证中间人看不懂，不保证服务端没被攻破。

结果怎么读

先看到期时间。剩余不到一个月，就该安排续期，别指望自动续期永远不出错。

再看覆盖域名。主域和 www 都写了没有，漏一个就会在那边报警告。SAN 少一个域名，是最常见也最容易被忽略的问题。

再看链和协议版本。链不完整，桌面浏览器可能正常，移动端会报错；协议太老，兼容性没问题，安全性上该升级。

多节点的意义

如果只有某个地区握手失败，可能是那条链路、那个 CDN 节点的问题，不是证书本身。

所有节点都失败，才更像是配置层面的问题。

握手耗时也能看，跨地区差异大，说明线路质量不均。还能顺手确认 CDN 边缘证书和源站证书是不是同一张。

如果证书刚换过，先确认各地拿到的是新证书，再谈其他。

复测和边界

改完证书或配置，用同一批节点复测，重点看到期时间、链完整性和协议版本有没有变化。

到期前一个月再跑一次，确认自动续期真的生效了。自动续期失败，常见于验证方式变化、DNS 权限丢失。

记录里写清到期日、链状态和协议版本。检测评分不是目的，能提前发现问题才是。每季度跑一次，比出事后补救便宜得多。证书是基础设施，稳定比花哨重要。

SSL 检测是一份「传输层体检报告」，别把它当成整站安全评估。