shell脚本检查域名证书是否过期的流程分析
时间：2023-03-02 09:34:29 | 栏目：Shell | 点击：次
最近公司的域名准备过期了，防止用户访问的时候出现异常，所以最近我们准备替换相关网站证书为最新的。
（一般HTTPS证书有效期为1年，证书过期后或者该证书不是该域名的有效证书时，在浏览器中访问会出现如下提示，这时候如果还是要访问只能通过点击"高级"，忽略风险继续访问）
我们这里有些域名是直接解析到自己的业务机器上的，并没有经过运维管理的nginx再来做转发，所以针对这部分域名，就需要的单独到业务机器上下载最新的域名证书，然后替换了一下证书，并重启一下nginx (nginx -s reload) 。
这里替换证书的时候，我遇到了一个坑，就是之前有些域名并不支持https的，然后我就打算换成支持https。结果按照原来的方式配置了https，访问的时候报不安全，提示使用了旧版tsl1.0或tsl1.1的协议，我确保了该域名的协议方式已经修改了，但是浏览器访问的时候，还是提示不安全，网上找了一段时间，才知道要nginx所有的域名配置都修改了，才会生效的，不然nginx 有可能取某个 域名配置的ssl 配置来连接ssl，但是最新的域名下的ssl配置不生效。
按F12打开开发者模式，切到 “Security” tab下页面可以看到不安全的原因，如果是使用了旧版tsl1.0或tsl1.1的协议，则在“Connection”中显示使用了TSL1.0或者TSL1.1的协议。下图的例子是表示无法信任服务器，因为未提供有效的证书。
理论上所有域名都统一由运维部门来管理，直接解析到运维的nginx 再转发到自己的业务机器才是比较好的方案，不然会导致域名不好管理。但是很多历史域名还没时间去修改，就只能手动替换。
这个域名数量会有点多，而且也不知道还有哪些域名还没替换的，因此计划用shell脚本去检查，并且可以将该shell脚本设置为定时任务，每个月或每天定时检查一下，如果有域名要过期了，则告警出来。在网上找了一下相关资料，再根据自己的需求，改造了一版的shell脚本如下：
#!/bin/bash
# 检测https证书有效
echo '开始检查 https证书有效期 '
# 先写域名内容到文件中，再读取文件检查证书是否过期了
# 先清空文件
echo '' > /tmp/https_list.txt
# 这里替换为自己的检查的域名即可
echo 'www.baidu.com' >> /tmp/https_list.txt
echo 'www.bing.com' >> /tmp/https_list.txt
echo 'www.google.com' >> /tmp/https_list.txt
source /etc/profile
# 定义错误的域名
errorDominStr=""
while read line; do
echo "====================================================================================="
echo "当前检测的域名：" $line
end_time=$(echo | timeout 1 openssl s_client -servername $line -connect $line:443 2>/dev/null | openssl x509 -noout -enddate 2>/dev/null | awk -F '=' '{print $2}' )
([ $? -ne 0 ] || [[ $end_time == '' ]]) && echo '该域名链接不上,跳到下一个域名' && continue
end_times=`date -d "$end_time" +%s `
current_times=`date -d "$(date -u '+%b %d %T %Y GMT') " +%s `
let left_time=$end_times-$current_times
days=`expr $left_time / 86400`
echo "剩余天数: " $days
[ $days -lt 60 ] && echo "https 证书有效期少于60天，存在风险" && errorDominStr="$errorDominStr \n $line"
done < /tmp/https_list.txt
echo -e "准备过期的域名为： \n $errorDominStr"
if [ "$errorDominStr" = "" ]
then
echo "不包含准备过期的域名"
else
echo "包含准备过期的域名" && exit 10
fi
echo "Good bye!"
exit 0
主要的流程就是读取文件中的域名，然后进行https访问获取到证书过期的时间，如果域名连接不上，则会直接跳过，如果该域名证书过期时间小于 60 天，则汇总起来，最后判断是否包含准备过期的域名，如果包含则异常退出exit 10。
运行后的结果如下：
参考资料：
https://blog.51cto.com/lee90/2410670 shell脚本检测https证书有效期
https://python.01314.cn/201812519.html 使用python检查SSL证书到期情况