证书运维排查49 条

弱签名算法排查

检查证书签名是否仍在用 SHA-1 或 MD5：公开 TLS 证书已不允许 SHA-1 签名，主流浏览器会拦截。用 x509 -text 查看 Signature Algorithm，并对链上每张证书分别检查。

检查命令	openssl x509 -text \| grep 'Signature Algorithm'
影响范围	叶证书与中间证书都要检查，链上任一张弱签名都可能被拦
替代方案	SHA-256 / SHA-384 等更强哈希的签名

批量检查证书签名算法

for f in *.pem; do
  echo -n "$f: "
  openssl x509 -in "$f" -noout -text 2>/dev/null | grep -m1 'Signature Algorithm'
done

内网私有 CA 同样建议避免 SHA-1：客户端或安全基线收紧后，存量证书会集中失效。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌