证书清单梳理做什么
证书清单梳理是把授权资产对外使用的证书逐项列出：颁发机构、有效期、覆盖的域名列表。它同时服务两个目的——运维侧识别即将过期与配置异常的证书，评估侧把证书里的域名当作资产线索核对范围。证书通过握手信息获取属于被动行为，不向业务系统发送额外请求。
基本信息
| 获取渠道 | 握手信息获取，配合客户台账核对 |
|---|---|
| 关注字段 | 颁发机构、有效期、覆盖域名列表 |
| 产出 | 证书清单与整改建议 |
| 资产线索 | 覆盖域名列表中的域名需核对是否在授权范围 |
| 区分要求 | 内部证书颁发机构与公有颁发机构分别统计 |
典型使用场景
- 梳理证书到期时间，避免业务中断风险
- 核对覆盖域名列表是否包含未登记的子域
- 识别仍在使用过时签名算法或短密钥的证书
- 检查通配符证书的覆盖范围是否过宽
- 发现自签名与内部颁发机构证书的对外暴露情况
获取方式
获取方式
# 获取证书链并查看主体、覆盖域名与有效期
openssl s_client -connect app.example.com:443 -servername app.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
# 批量核对：按资产清单逐个域名执行，记录结果到清单表
# 记录字段：域名、颁发机构、生效与失效时间、覆盖域名数量清单字段读法
| 字段 | 含义 | 异常信号 |
|---|---|---|
| 主体与覆盖域名 | 证书绑定的域名范围 | 包含未登记或范围外域名 |
| 有效期 | 生效与失效时间 | 剩余时间不足一个月或已过期仍在使用 |
| 颁发机构 | 签发证书的机构 | 使用自签名或内部机构证书对外提供服务 |
| 签名与密钥 | 算法与密钥长度 | 使用已被弃用的算法或过短密钥 |
证书信息同时是资产线索：覆盖域名列表里的新域名要先核对归属，确认在授权范围内再测试。
内部颁发机构与公有颁发机构的证书要分开统计：前者常被用于内部服务，对外暴露意味着配置问题。