如何检查网站是否部署了SSL证书

把网址输进浏览器，先别急着看页面内容，瞄一眼地址栏左边。如果显示一个小锁头，地址以https开头，说明这个页面至少已经通过加密连接加载了。点一下锁头，Chrome里能看到“连接安全”或“此连接安全”，再点“证书有效”就能看到颁发给谁、谁颁发的、有效期到哪天。Firefox和Safari的位置略有不同，但逻辑差不多，都是点锁形图标看证书详情。手机浏览器也类似，地址栏旁边有锁或“安全”提示，点开能看证书信息。

不过锁头只能说明当前页面走的是HTTPS，不等于整站都部署到位。有些网站首页是https，点进内页又跳回http；有些页面虽然地址栏有锁，但里面混着http加载的图片、脚本或字体，浏览器会提示“部分内容不安全”，锁头也可能变成灰色或带警告。Chrome从68版开始，对明确使用HTTP的页面直接标“不安全”，所以现在看地址栏仍然是最快的第一眼判断。

想看得更细，可以打开开发者工具。按F12，切到“Security”或“安全”面板，刷新页面。这里会告诉你连接是否安全、证书是否有效、有没有混合内容。如果看到“此页面不安全”或“资源被阻止”，往下翻通常能定位到具体是哪个http资源拖了后腿。这个办法对排查“有证书但页面仍报不安全”特别有用，因为问题往往不在证书本身，而在页面里混了明文资源。

命令行适合批量检查或远程确认。Linux或macOS上可以用openssl看证书链和有效期，比如执行openssl s_client -connect example.com:443 -servername example.com，输出里会显示证书主题、颁发者、有效期和链信息。想看简洁一点，可以配合openssl x509 -noout -subject -issuer -dates。用curl -I https://example.com能看响应状态和重定向，curl -I http://example.com则能确认HTTP是否301或308跳到了HTTPS。这里要注意，301和308都算永久重定向，308保留请求方法，实际部署里都常见。如果http访问返回200而不是跳转，说明还有明文入口没关。

在线工具更省事，适合非技术同学或做定期巡检。Qualys SSL Labs的SSL Server Test输入域名后会给出评分、协议版本、证书链、密钥强度等细节，A级算比较稳，B级以下就值得看看哪里拖了分。Why No Padlock这类工具专门查混合内容，把页面里所有http资源列出来。还有SSL Shopper的证书检查，能看证书是否过期、域名是否匹配、中间证书是否缺失。证书链不完整是个常见坑，桌面浏览器可能自动补全，但部分手机或旧设备会直接报错，所以在线工具显示“链不完整”时别忽略。

证书本身要核对几件事。有效期现在公开信任的证书最长一般不超过398天，看到只剩几天就该安排续期。域名匹配要看证书里的“使用者可选名称”，example.com和www.example.com是两个名字，通配符*.example.com覆盖一级子域，但不覆盖裸域example.com，别想当然。颁发者是不是可信CA，证书链能不能连到根证书，这些在证书详情里都能看到。还有协议版本，现在至少应支持TLS 1.2，能开TLS 1.3更好，SSL 3.0和TLS 1.0、1.1早该关掉。

最后别只看首页。随手点几个内页、登录页、表单提交页，看看地址栏是否一直保持https，提交时有没有跳回http。再查一下响应头里有没有Strict-Transport-Security，也就是HSTS，它能告诉浏览器以后强制走HTTPS。把这些都过一遍，基本就能判断一个网站的SSL证书是真部署好了，还是只做了个表面功夫。