帮助中心
从怎么查一个域名，到怎么看懂检测结果，再到工具箱每个工具的用法 —— 看完这一页就能完整使用本站的全部功能。
快速开始
在首页或任意页面的搜索框中输入域名，点击「开始检测」，几秒钟后即可看到该站点的服务器信息与 SSL 证书完整报告。整个过程不需要注册，也不需要在你的服务器上安装任何东西。
- 在输入框中填入域名，例如 kenpai.com
- 点击「开始检测」按钮
- 等待进度条走完（通常 5~15 秒）
- 查看检测结果：服务器信息、证书详情、信任链、OCSP 状态与安全评分
支持直接粘贴完整网址，系统会自动清洗。例如 https://www.example.com:443/path?a=1 会被规范为 example.com。
| 你输入的内容 | 实际查询的域名 |
|---|---|
| kenpai.com | kenpai.com |
| https://kenpai.com/ | kenpai.com |
| http://www.kenpai.com/index.html | www.kenpai.com |
| kenpai.com:8443 | kenpai.com |
| HTTPS://KENPAI.COM/path?x=1#top | kenpai.com |
检测需要目标站点的 443 端口对外开放。若目标只监听内网端口或防火墙拦截了本站服务器的出网请求，会提示无法建立连接。
检测结果解读
结果页分为服务器信息、SSL 证书、信任链、OCSP 状态与安全评分五大部分。下面说明每一项的含义。
【服务器信息】包含：IP 地址、IPv6 地址、DNS 解析结果、Web 容器类型（Nginx / Apache / IIS 等）、HTTP 状态码、完整响应头、是否存在跳转、是否启用 HSTS。
| 证书字段 | 含义 | 怎么看 |
|---|---|---|
| 品牌 | 签发该证书的证书颁发机构（CA） | 如 Let's Encrypt、DigiCert、Certum，由机构名称与策略 OID 综合判定 |
| 验证类型 | DV / OV / EV 三种验证等级 | DV 只验证域名所有权，OV 验证组织，EV 最严格 |
| 颁发者 | 直接签发该证书的 CA（可能是中间 CA） | 与「品牌」不同，这里是证书链上的上一层 |
| 有效期 | 证书的生效与失效时间 | 剩余天数少于 30 天会标记为「即将过期」 |
| SAN | 证书实际保护的所有域名 | 必须包含你访问的域名，否则浏览器会告警 |
| 公钥算法 | RSA 或 ECC（ECDSA）及密钥长度 | RSA 建议 ≥2048 位，ECC 建议 ≥256 位 |
| 签名算法 | CA 签发时使用的摘要算法 | SHA-1 / MD5 已被淘汰，应为 SHA-256 及以上 |
| 指纹 | 证书内容的哈希值 | 用于与 CA 提供的原始文件比对，确认未被篡改 |
【信任链】展示从叶子证书（你的站点）→ 中间证书 → 根证书的完整层级，并逐级验签。服务器必须下发完整的中间证书，否则部分客户端（尤其移动端与 Java）会报「不受信任」。
若提示「链未包含自签名根证书」，这属于常见且合理的配置 —— 根证书由操作系统/浏览器的本地信任库补全，不影响使用。
| OCSP 状态 | 含义 | 建议 |
|---|---|---|
| 正常（good） | CA 实时确认证书有效、未被吊销 | 无需处理 |
| 已吊销（revoked） | CA 已主动吊销该证书（密钥泄露、签发错误等） | 立即重新申请并更换证书 |
| 未知（unknown） | CA 的 OCSP 服务未返回明确结论 | 多为 CA 侧限制，可稍后重试 |
| 查询失败 | 网络不通、CA 服务不可用或证书未提供 OCSP 地址 | 检查服务器出网；若证书本身无 OCSP 地址属正常现象 |
【安全评分】从 100 分起扣，逐项检查后得出最终分数与等级：优秀（≥90）、良好（≥75）、一般（≥60）、风险（<60）。主要扣分项如下：
| 问题 | 扣分 |
|---|---|
| 未启用 HTTPS 或 443 端口不可达 | −60 |
| 证书已过期 | −40 |
| 证书已被吊销 | −40 |
| 证书未被系统信任库校验通过 | −30 |
| 证书域名与查询域名不匹配 | −30 |
| 使用不安全签名算法（SHA-1 / MD5） | −20 |
| RSA 密钥长度不足 2048 位 | −20 |
| 使用已废弃协议（SSLv3 / TLS 1.0 / 1.1） | −20 |
| 证书即将过期（≤7 天 / >7 天） | −20 / −10 |
| 证书链中存在签名校验失败的层级 | −15 |
| ECC 密钥长度偏低（<256 位） | −15 |
| 证书链不完整（且未被信任） | −10 |
| 加密套件未启用前向安全 | −10 |
| 未启用 HSTS | −5 |
工具箱使用指南
工具箱提供 6 个在线证书处理工具，全部在服务端完成，不需要你本地安装 openssl 或 JDK。
涉及私钥的工具请务必注意：本站只在内存中与系统临时目录短暂处理私钥，用完立即删除，不入库、不记日志。生成的私钥（如 CSR）页面关闭后无法找回，请立即下载保存。
| 工具 | 适用场景 | 你需要准备 | 关键注意 |
|---|---|---|---|
| PEM 转 PFX / PKCS12 | 部署到 IIS、Windows 服务器、.NET、部分 Java 容器 | 证书 PEM + 私钥 PEM | 导出密码至少 6 位；私钥若已加密需先用「格式互转」解密 |
| PEM 转 JKS | 部署到 Tomcat、SpringBoot、Jetty 等 Java 应用 | 证书 PEM + 私钥 PEM | 需设置密钥库密码与别名；本站纯 PHP 生成，无需安装 JDK |
| CSR 生成与解析 | 向 CA 申请证书前生成请求；或查看已有 CSR 的内容 | 组织与域名信息（生成）/ CSR 文件（解析） | RSA 与 ECC 二选一；多域名填在 SAN；私钥只出现一次 |
| 证书链补全 | 浏览器或某些客户端提示证书不受信任 | 叶子证书 PEM | 依赖证书中的 AIA 扩展自动下载中间证书，需服务器能出网 |
| 证书格式互转 | 在 PEM / DER / P7B / PKCS#8 / PKCS#1 之间转换，或拆开 PFX | 证书或私钥文件 | PFX 拆包需要输入原导出密码 |
| SSL 配置体检 | 上线前或整改后验证 TLS 配置是否达标 | 只要一个域名 | 会探测协议矩阵与弱套件，输出 A~F 评级与整改建议 |
常见格式对照：
| 格式 / 扩展名 | 说明 | 常见用途 |
|---|---|---|
| PEM（.pem / .crt / .key） | Base64 文本，以 -----BEGIN----- 开头 | Linux、Nginx、Apache 最常用 |
| DER（.der / .cer） | 二进制编码 | Java、Windows 部分场景 |
| P7B / PKCS#7（.p7b） | 只含证书不含私钥 | Windows 证书导入、IIS |
| PFX / PKCS#12（.pfx / .p12） | 证书 + 私钥打包，带密码 | IIS、Windows、.NET |
| JKS（.jks） | Java 专用密钥库 | Tomcat、SpringBoot、Jetty |
| PKCS#8 | 通用私钥格式 | Java 等需要标准私钥的场景 |
| PKCS#1 | RSA 专用私钥（BEGIN RSA PRIVATE KEY） | 部分老系统与 Nginx |
| CSR（.csr） | 证书签名请求，提交给 CA | 申请证书 |
常见问题
检测会影响我的网站吗？—— 不会。检测只做一次 TLS 握手与一次 HTTP 请求，等同于普通访客访问一次，不会对你的业务造成影响。
我上传的私钥安全吗？—— 私钥仅在本站服务端的内存与临时目录中短暂存在，处理结束立即删除，不写入数据库、不记录日志、不发送到任何第三方。
为什么有些协议显示「未探测」而不是「不支持」？—— 说明本站服务器端的 OpenSSL 未编译该协议（如 SSLv3），无法完成探测，因此不给出结论，这与目标站点是否支持无关。
为什么证书品牌识别不出来？—— 品牌依据证书中的颁发机构名称与 CABF 策略 OID 综合判定。部分小众 CA 或自签名证书可能匹配不到，此时会显示「未知品牌」，但其余字段仍然准确。
查询历史会保存多久？—— 每次检测都会记入查询历史，可在「查询历史」页面查看、检索与删除，删除后不可恢复。
OCSP 显示查询失败怎么办？—— 多为服务器出网受限或 CA 的 OCSP 服务临时不可用。可稍后重试；若证书本身未提供 OCSP 地址，则属正常现象。
为什么结果与我在浏览器里看到的不一样？—— 浏览器会使用本地信任库补全根证书并缓存 OCSP 结果，本站则按服务端下发的原始链与实时 OCSP 判定，两者视角不同。
检测有次数限制吗？—— 有。为防止滥用，同一 IP 每小时最多检测 60 次，超限后请稍后再试。