証明書の有効期限チェック
サーバーがいま返す証明書を韓国から取得して検証する。有効期限、チェーン、セキュリティ等級、DNS までまとめて確認できる。
期限の基準: 注意 30 日・緊急 15 日前 (変更)
残り日数が「注意」以下なら注意、「緊急」以下なら危険と判定する。
設定はこのブラウザにのみ保存される。有効期間が 90 日より短い証明書は、既定値を有効期間の 1/3、1/6 に縮めて適用する。
測定方法と時刻
サーバーが実際に送ったチェーンを送信順のまま表示する。
TLS プロトコル対応(韓国プローブからハンドシェイクを試行)、セキュリティヘッダー、HTTP リダイレクト、鍵の強度を検査する。ポートスキャンはしない。
公開 DNS(Cloudflare DoH)と RDAP で照会する。ネームサーバーの運営会社は、ネームサーバー名がその会社のドメインの場合のみ表示する。
Mozilla CA プログラムの不適合公開事例(Bugzilla)を発行者名で検索した結果。このドメインの証明書と直接関係しない場合がある。
- README バッジ:
- 期限アラートのカレンダー: .ics を購読(韓国語)
満了 30 日前(注意)、15 日前(緊急)、7・3・1 日前に通知する。問題があれば「今すぐ確認」の予定が追加される。
- AI エージェント向け MCP:
https://certdesk.dev/mcp(check_certificate ツール)
判定のしかた
3 か所から実際に接続し、サーバーがいま送った証明書チェーンを受け取り、トラストストアで検証したうえで証明書の CRL で失効を確認する。
韓国測定地点 A はチェーンと失効まで確認する。Globalping 公開測定網の韓国 B(KT ソウル)と東京は地域・回線の差を見る。地点ごとに結果が異なれば注意とし、A が止まれば公開測定網の結果で代わりに判定する(状態(韓国語))。
サーバーに接続できなければ正常とはせず、測定不可と表示する。
確認する項目
- 有効期限
サーバーが返す証明書が基準。満了 30 日以内なら注意、15 日以内なら危険(緊急)。基準は上で変更できる。
公開 CT ログは測定に失敗したときの推定としてのみ表示する。同じ名前で後から発行されたのにサーバーに反映されていない証明書があれば知らせる。CDN が別の CA で用意する予備の証明書は除外する。
- チェーン
サーバーが送った順のまま表示する。中間証明書を送っていなければ中間証明書の欠落と判定し、欠けた証明書の名前を示す。
ブラウザでは動くのに Java、curl、モバイルアプリだけ失敗する場合、たいていこれが原因。
- 失効
証明書に記載された CRL で、発行 CA がこの証明書を失効させたか確認する。
- セキュリティ等級
TLS 1.0/1.1 の許可、HSTS などのセキュリティヘッダー、HTTP から HTTPS へのリダイレクト、鍵と署名の強度で評価する。
- DNS
ネームサーバーと運営会社、IP の所有組織、CAA(どの CA が発行できるか)、SPF と DMARC、DNSSEC、レジストラとドメインの満了日。
- ポートとメールサーバー
host:ポートで入力すると、443 以外の TLS ポート(8443、6443、636、465、993、995 など)と STARTTLS(SMTP 25・587、IMAP 143、POP3 110、LDAP 389)も確認する。任意のポートは受け付けない。 - アドレス別の比較
ドメインの A/AAAA アドレスそれぞれから証明書を受け取り、一部のサーバーだけ差し替えが漏れていないか確認する。
ターミナルで直接確認するには
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer -subject