SSL 检测的输入是这几个工具里最简单的：一个域名，完事。

填什么

www.bt.cn、api.example.com，就这样。

不带 https://，不带路径，不带端口。检测固定走 443，你填了端口也没用。

这里要特别注意：你填哪个域名，它就用哪个域名去做 SNI，然后读回对应那张证书。所以 www.bt.cn 和 bt.cn 可能读到完全不同的证书，别混着看。

非标准端口不支持

如果 HTTPS 跑在 8443、9443 这类端口上，这个工具测不了。

这种情况只能上服务器用 openssl s_client -connect host:8443 -servername example.com 手工看，或者在浏览器里直接访问带端口的地址，点开锁图标看证书。

多域名证书要逐个测

一张证书可以带很多个 SAN，比如同时覆盖主域、www、api、mail。

但工具一次只读一个域名对应的证书。你想确认某个子域有没有被覆盖，就得把那个子域单独填进去测一遍。

共用证书最容易出的问题就是：主域好好的，新加的子域忘了加进 SAN，上线当天才发现。

几个容易踩的点

带 www 和不带 www 是两个域名，证书里没写就会不匹配。

域名解析必须已经指向目标服务器，否则读到的是别的机器上的证书，结果没有意义。

如果前面套了 CDN，读到的是 CDN 边缘节点的证书，不是源站的。要查源站证书，就直接填源站 IP 对应的域名，或者绕过 CDN 测。

提交之后

系统会从多个节点分别建立 TLS 连接，把证书信息和握手耗时汇总出来。

如果各地读到的证书不一致，那说明 CDN 各节点部署不同步，这本身就是一个需要处理的问题。