SSL 証明書チェッカー

ドメイン（example.com、または完全な URL でも構いません。スキームとパスは無視されます）を入力してチェックを押します。ツールがそのホストへ TLS 接続を行い、配信されている証明書について残り日数、チェーンの信頼性、ホスト名の一致、SAN、受け付けている TLS バージョンを報告します。

結果の上部に表示されるカウントダウンが、現在配信されている証明書の残り日数です。その横に UTC での開始日時と失効日時が並びます。マイナスの数値は、すでにその日数だけ期限を過ぎていることを意味します。

サーバーが提示したチェーンを、パブリックルートストアの証明書までたどって検証できなかったという意味です。よくある原因は、自己署名証明書、公開クライアントが知らない内部 CA、中間証明書の設定漏れ、あるいは証明書自体の期限切れです。検証器が返した理由は該当項目の横に表示されます。

証明書は SAN に記載された名前に対してのみ有効で、*.example.com のようなワイルドカードはラベル 1 段だけを対象とします（api.example.com には一致しますが、example.com や a.b.example.com には一致しません）。本ツールは信頼とホスト名を分けて報告するため、チェーンは正当でも別の名前に発行されている状況を見分けられます。

この組み合わせは、ほぼ確実にサーバーが中間証明書を送っていないことが原因です。ブラウザは証明書内の AIA から不足分を取得して黙って補完できますが、curl、Java、Go、古いモバイル端末は通常それを行いません。「チェーンが完全に配信されている」の項目がまさにこれを検出します。

できます。ポート欄を指定するか、example.com:8443 のようにホストに付けて入力してください。465 のメール送信や 636 の LDAPS のように、接続直後から TLS を開始するサービスを確認できます。587 の STARTTLS のように平文で始めてから昇格する方式や、独自プロトコルの交渉後に TLS を有効にするサービスには対応していません。

SNI はハンドシェイク時に送るホスト名で、複数サイトを収容するサーバーがどの証明書を提示すべきかを判断するために使われます。既定では入力した宛先が使われます。IP へ直接つなぎつつ特定の名前の証明書を取得したいときに明示します。ロードバランサーの背後にある 1 台を個別に検証する場合に便利です。

いいえ。証明書に記載された OCSP レスポンダーと CRL の URL は表示し、ハンドシェイク時に OCSP レスポンスがステープルされたかどうかも示しますが、これらの URL には問い合わせません。失効済みでも有効期間内の証明書は、ここでは有効に見えます。

通常は不要です。主要ブラウザは 2020 年に両方を廃止しており、監査でも指摘されます。バージョン一覧は 4 つのバージョンを個別に探索するため、設定ファイル上の記述ではなくサーバーが実際に受け付ける内容を確認できます。非推奨バージョンを受け付けている場合は警告として表示されます。

できません。チェックは当サービスのサーバーから実行されるためインターネット上のホストにしか到達できず、プライベート、ループバック、リンクローカル、予約済みのアドレスは拒否されます。内部ホストの場合はローカルで openssl s_client -connect host:port -servername host を実行し、得られた PEM を証明書デコーダーに貼り付けてください。