1. 为什么需要关注证书有效期？

证书有效期是数字证书中最为关键的属性之一。作为网络安全的基础设施，SSL/TLS证书在HTTPS加密通信、身份验证等场景中扮演着重要角色。我见过太多因为证书过期导致的线上事故——从电商网站支付失败到API服务大面积瘫痪，这些本可以避免的问题往往源于对证书生命周期的疏忽管理。

OpenSSL作为最权威的开源加密工具包，其命令行工具可以快速提取证书中的各种元数据。其中有效期信息尤为实用，它能帮助我们：

• 提前预警即将过期的证书
• 验证证书是否在有效期内
• 规划证书轮换时间窗口
• 排查因证书过期导致的连接问题

2. OpenSSL查看证书有效期的基础命令

2.1 查看证书过期时间

最常用的命令格式如下：

openssl x509 -in 证书文件 -noout -enddate

这个命令会输出证书的过期时间（notAfter字段）。例如检查一个PEM格式的证书：

$ openssl x509 -in example.com.crt -noout -enddate notAfter=Dec 31 23:59:59 2023 GMT

注意：-noout参数非常重要，它告诉OpenSSL不要输出证书本身的内容，只显示我们需要的字段信息。如果省略这个参数，会打印出整个证书的Base64编码内容。

2.2 查看证书生效时间

同样地，我们可以查看证书的生效日期（notBefore字段）：

openssl x509 -in 证书文件 -noout -startdate

示例输出：

$ openssl x509 -in example.com.crt -noout -startdate notBefore=Jan 1 00:00:00 2023 GMT

2.3 同时查看起止时间

如果想一次性获取完整的有效期范围，可以使用：

openssl x509 -in 证书文件 -noout -dates

这会同时显示notBefore和notAfter日期：

$ openssl x509 -in example.com.crt -noout -dates notBefore=Jan 1 00:00:00 2023 GMT notAfter=Dec 31 23:59:59 2023 GMT

3. 高级用法与实用技巧

3.1 检查远程服务器证书

不需要下载证书文件，直接检查远程服务器的证书有效期：

openssl s_client -connect 域名:443 -servername 域名 2>/dev/null | openssl x509 -noout -dates

例如检查GitHub的证书：

$ openssl s_client -connect github.com:443 -servername github.com 2>/dev/null | openssl x509 -noout -dates notBefore=Mar 8 00:00:00 2023 GMT notAfter=Mar 14 23:59:59 2024 GMT

技巧：2>/dev/null将stderr重定向到黑洞，可以过滤掉SSL握手过程中的调试信息，让输出更干净。

3.2 自动化监控脚本

将OpenSSL命令与日期处理工具结合，可以创建自动化的证书监控脚本。以下是一个Bash脚本示例，会在证书剩余有效期小于30天时发出警告：

#!/bin/bash cert_file=$1 expiry_date=$(openssl x509 -in "$cert_file" -noout -enddate | cut -d= -f2) expiry_epoch=$(date -d "$expiry_date" +%s) current_epoch=$(date +%s) days_left=$(( (expiry_epoch - current_epoch) / 86400 )) if [ "$days_left" -lt 30 ]; then echo "警告：证书 $cert_file 将在 $days_left 天后过期！" fi

3.3 处理不同格式的证书

OpenSSL可以处理多种证书格式，只需添加对应的参数：

• DER格式证书：

openssl x509 -inform der -in cert.der -noout -dates

• PKCS#7格式：

openssl pkcs7 -print_certs -in cert.p7b | openssl x509 -noout -dates

• PKCS#12格式（需要密码）：

openssl pkcs12 -in cert.p12 -nodes -passin pass:密码 | openssl x509 -noout -dates

4. 常见问题排查

4.1 证书格式错误

如果遇到以下错误：

unable to load certificate 140735768385600:error:0909006C:PEM routines:get_name:no start line:crypto/pem/pem_lib.c:745:Expecting: TRUSTED CERTIFICATE

可能原因：

1. 文件不是有效的证书
2. 证书格式不匹配（比如误将DER格式当作PEM读取）
3. 文件损坏

解决方案：

• 使用file命令检查文件类型
• 尝试添加-inform der参数
• 用文本编辑器确认PEM格式证书是否有正确的BEGIN/END标记

4.2 证书链验证

有时需要验证整个证书链的有效期。可以使用这个命令查看链中所有证书：

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout

4.3 时区问题

证书有效期使用的是GMT时间，如果服务器时区设置不当，可能导致本地时间判断出现偏差。建议在脚本中统一使用UTC时间进行比较：

expiry_epoch=$(date -u -d "$expiry_date" +%s)

5. 扩展应用场景

5.1 批量检查目录下所有证书

结合find命令可以批量检查一个目录下的所有证书文件：

find /etc/ssl/certs -name "*.pem" -exec sh -c 'echo "检查 {}"; openssl x509 -in "{}" -noout -dates' \;

5.2 与Let's Encrypt集成

对于ACME客户端（如certbot）管理的证书，可以通过这个命令获取剩余天数：

openssl x509 -in /etc/letsencrypt/live/域名/cert.pem -noout -enddate | cut -d= -f2 | xargs -I {} date -d {} +%s | xargs -I {} expr \( {} - $(date +%s) \) / 86400

5.3 Kubernetes证书检查

检查Kubernetes集群证书有效期：

kubectl config view --raw -o json | jq -r '.clusters[].cluster."certificate-authority-data"' | base64 -d | openssl x509 -noout -dates

对于kubeadm创建的集群：

sudo find /etc/kubernetes/pki -name "*.crt" -exec sh -c 'echo "检查 {}"; openssl x509 -in "{}" -noout -dates' \;

6. 最佳实践建议

1. 监控策略：对关键证书设置至少提前30天的过期提醒
2. 证书轮换：在证书到期前完成新证书的部署和验证
3. 统一管理：使用证书管理平台（如HashiCorp Vault）集中管理所有证书
4. 文档记录：维护证书清单，记录颁发者、用途、有效期等信息
5. 应急方案：准备证书更新和回滚的应急预案

我在实际运维中建立了一个简单的证书管理数据库，包含以下字段：

• 域名/服务名
• 证书路径
• 颁发者
• 颁发日期
• 过期日期
• 负责人
• 续订状态

每周自动运行检查脚本，通过邮件和即时通讯工具发送报告。对于关键业务证书，还会在到期前额外增加人工确认环节。