ssl工具

三年前我帮朋友排查一个电商网站打不开的问题，折腾半天，最后发现是SSL证书过期了。浏览器地址栏里那个小锁头变成红色感叹号，用户直接跑了。那一刻我才意识到，SSL工具不是运维的玩具，是生意的命门。

现在谁还手动部署证书？都是Let's Encrypt配上certbot，一条命令搞定。但工具链远不止签发证书这么简单。我电脑里常年躺着openssl、cfssl、mkcert这几个家伙，各有各的脾气。openssl是瑞士军刀，什么都能干，就是命令行参数能把人逼疯——我至今记不住`-newkey rsa:2048 -nodes`后面该接什么。cfssl是CloudFlare出的，JSON配置比命令行友好太多，适合批量生成。mkcert最讨人喜欢，本地开发直接信任自己的CA，浏览器不再满屏红叉。

真实场景里最坑的是证书链不完整。服务器只发了叶子证书，中间证书没带上，安卓手机全挂。我见过某大厂线上事故，工程师用openssl排查半天，最后发现是Nginx配置里少了`ssl_chain_certificates`那一行。工具再强，不懂协议细节照样翻车。

有个细节很多人忽略：证书续期不是设个cron就完事。Let's Encrypt证书90天有效期，自动续期脚本跑失败是常态。我习惯每周手动检查一次，用`openssl x509 -enddate -noout -in cert.pem`看到期时间。别嫌土，这命令救过我三次。真正上了生产环境，最好用专门的监控工具，比如Certbot的`--dry-run`配合告警，或者干脆接上UptimeRobot这类外部探测。

最近在折腾mTLS（双向认证），这才发现工具链又不一样。服务端要验证客户端证书，得自己维护CA。cfssl的`gencert`命令能批量签发，但吊销列表（CRL）才是麻烦事。我试过用Vault管理，配置复杂度直接翻倍——小团队真没必要上这么重的方案。轻量做法是写个脚本定期生成CRL，用nginx的`sSL_crl`指令加载。

说到底，SSL工具的核心价值是信任管理。证书签发、续期、吊销、链拼接，每环都可能断。别迷信自动化，关键操作前手动验证一遍。我给自己定了个规矩：每次改证书配置，必须用`sslabs.com`的在线检测扫一遍，评分低于A就重来。这习惯帮我避开了至少五次肉眼发现不了的兼容性问题。

工具会迭代，协议会升级（TLS 1.3都普及了），但排查思路不变：先看证书本身，再看链完整性，最后查服务器配置。这个顺序能解决九成问题。剩下那成，多半是客户端缓存或系统时间错乱——对，时间不对也会让证书验证失败。别笑，我上周刚被这个坑过。