公式与计算方法
1) 解析域名并拒绝内网 / 保留地址；2) 用系统信任库做完整 TLS 握手，记录信任结果、协议和加密套件；3) 读取服务器发送的证书链并解析 X.509（主体、签发者、有效期、SAN、公钥、签名算法、SHA-256 指纹）；4) 逐一探测 TLS 1.3/1.2/1.1/1.0；5) 读取 HTTPS 响应头中的 HSTS 和握手中的 OCSP 响应。剩余天数 = notAfter − 当前时间。
计算示例
输入 xunl.net：显示签发机构、剩余天数、证书链 2–3 级、SAN 列表，以及 TLS 1.3 / 1.2 支持情况。
适用条件
- 只检查 443 端口的 HTTPS；不检查邮件服务器（SMTP/IMAP）或自定义端口。
- “受信任”基于服务器端的系统根证书库，个别老旧设备的信任结果可能不同。
- 有 CDN 时，检测到的是 CDN 边缘节点返回的证书。
常见问题
怎么查看网站 SSL 证书什么时候到期？
输入域名后看“到期时间”和“剩余天数”。剩余 14 天以内会标为警告。
为什么浏览器正常，这里却说缺少中间证书？
浏览器可能缓存或自动下载了中间证书，但 curl、Java、移动 App 等客户端不会。请在服务器配置中发送完整链（fullchain）。
需要禁用 TLS 1.0 和 1.1 吗？
是的。RFC 8996 已正式弃用 TLS 1.0 和 1.1，主流浏览器也已停止支持。
可以检查内网或 IP 地址吗？
出于安全原因，不检查内网、本机和保留地址；公网 IP 可以检查，但证书通常只签给域名。