证书过期检测怎么弄？一文彻底搞懂自动化监控与告警机制
目录导读
为什么证书过期检测如此重要？
在HTTPS普及的今天,SSL/TLS证书的有效期普遍缩短至90天甚至更短，一旦证书过期，用户访问网站时会直接看到“您的连接不安全”等警告，导致流量骤降、品牌信任崩塌，还可能触发搜索引擎的降权处理，据相关统计，超过30%的网站曾因证书过期导致业务中断，平均恢复时长长达数小时。建立自动化的证书过期检测机制已经成为运维和安全团队的基础必修课。
核心痛点：手动检查证书有效期效率低、易遗漏；而依赖浏览器访问时才发现问题，往往为时已晚。
证书过期检测的常见方法对比
| 检测方式 | 原理 | 优点 | 缺点 |
|---|---|---|---|
| 命令行工具（如openssl） | 远程连接服务器443端口，解析证书信息 | 零成本、适合单次检测 | 需要手动执行，无法自动化告警 |
| 脚本监控（Python/Shell） | 编写循环检测脚本，配合crontab定时执行 | 灵活可控，可集成钉钉/邮件通知 | 需要一定编程基础 |
| 第三方SaaS平台 | 提供云端检测面板，支持多域名批量监控 | 开箱即用、可视化、多维度告警 | 公开域名可能被第三方记录 |
| 开源监控系统（如Prometheus + blackbox_exporter） | 通过Exporter收集证书指标，接入Prometheus告警 | 适合企业级大规模监控 | 部署配置相对复杂 |
推荐组合：小型站点使用脚本+邮件告警；中型团队使用开源监控系统；大型企业建议用商业平台兜底。
手把手教你搭建自动化检测脚本
1 基础Shell脚本（适合Linux/Unix环境）
#!/bin/bash
domain="example.com"
port="443"
expire_date=$(echo | openssl s_client -servername $domain -connect $domain:$port 2>/dev/null | openssl x509 -noout -enddate | cut -d= -f2)
expire_timestamp=$(date -d "$expire_date" +%s)
current_timestamp=$(date +%s)
days_remaining=$(( ($expire_timestamp - $current_timestamp) / 86400 ))
if [ $days_remaining -lt 30 ]; then
echo "证书将在 $days_remaining 天后过期！请尽快更新！" | mail -s "证书过期告警" admin@yourcompany.com
fi
2 Python增强版（支持多个域名与多渠道通知）
import ssl, socket, datetime, smtplib
from email.mime.text import MIMEText
domains = ["example.com", "api.example.com", "www.example.org"]
alert_days = 14 # 提前14天告警
def check_cert(hostname, port=443):
ctx = ssl.create_default_context()
with ctx.wrap_socket(socket.socket(), server_hostname=hostname) as s:
s.connect((hostname, port))
cert = s.getpeercert()
expire_date = datetime.datetime.strptime(cert['notAfter'], '%b %d %H:%M:%S %Y %Z')
days_left = (expire_date - datetime.datetime.now()).days
return days_left
def send_alert(domain, days):
msg = MIMEText(f"域名 {domain} 的SSL证书将在 {days} 天后过期，请立即处理！")
msg['Subject'] = '证书过期告警'
msg['From'] = 'monitor@yourcompany.com'
msg['To'] = 'admin@yourcompany.com'
with smtplib.SMTP('smtp.yourcompany.com') as server:
server.send_message(msg)
for domain in domains:
days = check_cert(domain)
if days < alert_days:
send_alert(domain, days)
print(f"{domain}: 剩余 {days} 天")
3 定时任务配置（crontab）
# 每天凌晨4点执行检测 0 4 * * * /usr/local/bin/cert_check.sh
主流监控工具实操指南
1 Prometheus + Blackbox Exporter（推荐）
# blackbox.yml 配置示例
modules:
http_2xx:
prober: http
http:
valid_http_versions: ["HTTP/1.1", "HTTP/2"]
fail_if_ssl: false
tls_config:
insecure_skip_verify: false
然后在Prometheus中添加Job：
scrape_configs:
- job_name: 'ssl_cert_check'
metrics_path: /probe
params:
module: [http_2xx]
static_configs:
- targets: ['https://example.com', 'https://api.example.com']
relabel_configs:
- source_labels: [__address__]
target_label: __param_target
- source_labels: [__param_target]
target_label: instance
- target_label: __address__
replacement: blackbox_exporter:9115
2 在线检测平台（快速入门）
- SSL Labs：提供详细证书链分析，适合单次深度检测
- UptimeRobot：支持免费监控50个URL，含证书过期告警
- Certificate Monitor：专门针对证书的批量监控工具
证书过期前的预警与自动续期策略
1 分级告警机制
- 严重告警（剩余≤7天）：通过电话+短信+邮件+群机器人同时通知
- 预警告警（剩余14-30天）：发送邮件+钉钉/企业微信消息
- 通知告警（剩余30-60天）：仅发送周报统计
2 自动化续期方案（以Let's Encrypt为例）
# 使用certbot自动续期并重启服务 0 3 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"
注意：需确保服务器的80/443端口在续期时可达，且域名解析正确。
3 多云环境下的统一管理
使用ACME协议配合DNS-01验证，可以无感续期所有云厂商的CDN证书，推荐工具：lego (Go语言) 或 acme.sh (Shell脚本)。
常见问题解答（FAQ）
Q1：检测脚本会不会漏掉某个域名？ A：建议维护一个集中的域名清单文件，并用脚本循环读取，同时配合DNS解析校验，避免因CDN回源问题导致检测结果不准。
Q2：为什么我的证书显示剩余天数和浏览器不一致？
A：可能是服务器时区设置错误，或中间证书链不完整导致的解析异常，可通过openssl s_client -showcerts对比完整链。
Q3：免费检测工具有什么限制？ A：大多数免费工具检测频率较低（如每天1次），且仅支持公开域名，内网或私有证书建议使用自建脚本。
Q4：检测时是否需要考虑证书的根CA信任链？
A：是的，如果根证书即将过期（虽然很少见），也会导致浏览器报错，建议在检测中添加-verify_return_error参数。
Q5：自动化续期失败怎么处理？ A：设置“续期失败告警”，并保留上一个可用证书的备份，常用策略是失败时切换到备份证书，同时通知运维手动排查。
通过以上方法,你可以构建一个从检测、告警到自动修复的完整证书生命周期管理体系。建议从简单的Shell脚本开始，逐步过渡到Prometheus+Blackbox Exporter的组合方案，既能满足初创团队的轻量需求，也能支撑企业级的监控规模。证书检测不是一次性工作，而是需要持续运行的保障机制。
